(57)【要約】  処理対象情報の位置と回転との補正が不要で、かつ、クライアントがその処理対象情報以外の秘密情報を持つ必要がなく、かつ、その処理対象情報が外部に漏洩することのない、認証を実現する。登録情報に含まれる特徴間の第１の相関関係が暗号化されたテンプレートと、認証情報に含まれる特徴間の第２の相関関係に基づいた認証データと、公開鍵と、に基づいて、その第１の相関関係とその第２の相関関係と間の関係を示す暗号文を含む照合データを生成する手段と、その照合データと秘密鍵と予め定められたパラメータとに基づいて、その登録情報とその認証情報の類似度を示す適合情報を生成する手段と、その適合情報に基づいて、認証結果を生成する手段と、を含む。
2016152130.tif 000002
【特許請求の範囲】
【請求項１】
登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートを生成する登録手段と、
前記テンプレートを記憶する記憶手段と
認証される情報である認証情報に含まれる特徴間の第２の相関関係に基づいて認証データを生成する認証データ生成手段と、
前記テンプレートと前記認証データと前記公開鍵とに基づいて、
前記第１の相関関係と前記第２の相関関係と間の関係を示す、前記暗号化方式に対応する演算結果である、暗号文を含む照合データを生成する照合データ生成手段と、
前記公開鍵と前記公開鍵に対応する秘密鍵とを生成する鍵生成手段と、
前記照合データと前記秘密鍵と前記第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータとに基づいて、前記登録情報と前記認証情報の類似度を示す、適合情報を生成する適合情報生成手段と、
前記適合情報に基づいて、認証結果を生成し、出力する適合検証手段と、を含み、
前記鍵生成手段及び適合情報生成手段のいずれかを含むノードと、前記登録手段、前記記憶手段、認証データ生成手段及び照合データ生成手段のいずれかを含むノードとが異なり、
前記記憶手段と前記適合検証手段のいずれかを含むノードと、前記登録手段、認証データ生成手段のいずれかを含むノードとが更に異なる
情報処理システム。
【請求項２】
前記鍵生成手段は、加法準同型性を有する前記公開鍵と前記秘密鍵とを生成する、
請求項１記載の情報処理システム。
【請求項３】
前記照合データ生成手段は、前記第１の相関関係と前記第２の相関関係との差を示す前記暗号文を少なくとも含む、前記照合データを生成し、
前記適合情報生成手段は、前記暗号文が示す差と、前記パラメータに含まれる閾値との比較結果に基づいて、前記適合情報を生成する、
請求項１または２記載の情報処理システム。
【請求項４】
前記登録手段は、前記第１の暗号化相関関係が、前記第１の相関関係との差が前記パラメータに含まれる閾値以下である第３の相関関係に対応する暗号文を含む、前記テンプレートを生成し、
前記照合データ生成手段は、前記第１の相関関係と前記第２の相関関係との差が前記パラメータに含まれる閾値以下であるか否かを示す暗号文を少なくとも含む、前記照合データを生成し、
前記適合情報生成手段は、前記第１の相関関係と前記第２の相関関係との差が前記パラメータに含まれる閾値以下であるか否かに基づいて、前記適合情報を生成する、
請求項１または２記載の情報処理システム。
【請求項５】
前記登録手段は、前記第１の暗号化相関関係が、前記第３の相関関係を代入すると０となる多項式の係数の暗号文を含む、前記テンプレートを生成し、
前記照合データ生成手段は、前記第２の相関関係を代入した前記多項式の評価値の暗号文を少なくとも含む、前記照合データを生成し、
前記適合情報生成手段は、前記第１の相関関係と前記第２の相関関係との差が前記パラメータに含まれる閾値以下であるか否かを、前記暗号文の復号値が０であるか否かに基づいて判定する
請求項４記載の情報処理システム。
【請求項６】
前記認証データ生成手段は、前記第２の相関関係及び前記公開鍵に基づいて前記認証データを生成し、
前記照合データ生成手段を含むノードと、認証データ生成手段を含むノードとが更に異なる
請求項１乃至５のいずれか１項に記載の情報処理システム。
【請求項７】
登録される情報である登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートを受信し、
認証される情報である認証情報に含まれる特徴間の第２の相関関係を含む認証データを受信し、
少なくとも前記テンプレートと前記認証データと前記公開鍵とに基づいて、前記第１の暗号化相関関係及び前記第２の相関関係に対する、前記暗号化方式に対応する演算結果である、暗号文を含む照合データを生成し、
前記照合データを、前記公開鍵に対応する秘密鍵を使用可能な、前記照合データと前記秘密鍵と前記第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータとに基づいて前記登録情報と前記認証情報の類似度を示す認証結果を出力する、検証手段に送信する
認証方法。
【請求項８】
前記第２の相関関係及び前記公開鍵に基づいて生成される前記認証データを受信する
請求項７記載の認証方法。
【請求項９】
登録される情報である登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートを受信する処理と、
認証される情報である認証情報に含まれる特徴間の第２の相関関係を含む認証データを受信する処理と、
前記テンプレートと前記認証データと前記公開鍵とに基づいて、前記第１の暗号化相関関係及び前記第２の相関関係に対する、前記暗号化方式に対応する演算結果である、暗号文を含む照合データを生成する処理と、
前記照合データを、前記公開鍵に対応する秘密鍵を使用可能な、前記照合データと前記秘密鍵と前記第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータとに基づいて前記登録情報と前記認証情報の類似度を示す認証結果を出力する、検証手段に送信する処理と、をコンピュータに実行させるプログラムを格納した記録媒体。
【請求項１０】
前記第２の相関関係及び前記公開鍵に基づいて生成される前記認証データを受信する処理を前記コンピュータに実行させる請求項９記載のプログラムを格納した記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は情報処理システム、ノード、認証方法等に関し、特に、複数の情報間の照合により認証を実行する情報処理システム、ノード、認証方法等に関する。
【背景技術】
【０００２】
指紋、顔又は虹彩などの個人の身体的、或いは個人の行動的な特徴である生体情報を用いた認証である生体認証が注目されている。【０００３】
生体認証は、登録時のフェーズと認証時のフェーズとに分けられる。【０００４】
登録時のフェーズは、登録を要求するクライアントの生体情報を登録するフェーズである。登録時には、そのクライアントの生体情報からテンプレートが生成され、そのテンプレートがデータベースに保存される。【０００５】
認証時のフェーズは、認証を要求するクライアントを認証するフェーズである。認証時には、そのクライアントの生体情報から認証データが生成され、前述のテンプレートと突合される。【０００６】
指紋を用いた生体認証（指紋認証）には、指紋からマニューシャと呼ばれる特徴点を抽出し、その特徴点に基づいて認証を行う方式がある。一般に、マニューシャは、座標(x、y),隆線角度tという３つの成分から成る。座標は特徴点（マニューシャ）の座標を表し、隆線角度は特徴点（マニューシャ）における隆線の接線の傾きを表す。これらの他に、端点や分岐点などの区別を表すタイプ、又は、信頼度などの成分を扱う場合もある。【０００７】
指紋の画像からマニューシャの座標、隆線角度を取得するためには、画像内に座標系を定める必要がある。座標系の定め方には大きく分けて二つの方法がある。一つは、あらかじめ定められた方法により生体情報の位置と回転との補正を実行してから座標系を定める方法であり、もう一つは補正をせずに座標系を定める方法である。【０００８】
前者の、あらかじめ定められた方法により生体情報の位置と回転との補正を実行してから座標系を定める方法が用いられる場合、登録時、認証時にマニューシャの情報を取得する際に用いられる座標系は統一される。この方法においては、（１）マニューシャの距離が閾値以内であり、かつ、（２）マニューシャの隆線角度の差が閾値以内である、時、マニューシャが一致すると判定される。【０００９】
具体的には、例えば２つのマニューシャを(x1、y1、t1),(x2、y2、t2)とする。この時、あらかじめ定められたパラメータ（以後、Ｂｏｚｏｒｔｈパラメータと呼ぶ）に含まれるΔdとΔtとに対して、（１）((x1-x2)^2+(y1-y2)^2)≦Δd、かつ、（２）(t1-t2)^2≦Δtを満たすならば、それらの２つのマニューシャが一致すると判定される。ここで、Δdは、マニューシャの距離に対する閾値であり、Δtは、マニューシャの隆線角度の差に対する閾値である。また、本明細書において、「^」は、べき乗算を表す。すなわち、a^bはaをb乗した値を表す。【００１０】
上述の「一致すると判定されたマニューシャの組」の数が閾値以上である場合、「認証したい指紋」が「登録された指紋」と一致すると判定され、認証に成功する。【００１１】
生体情報の位置と回転との補正をするために必要な情報が取得できない場合などには、後者の、生体情報の位置と回転との補正をせずに座標系を定める方法が用いられる。この場合、登録時及び認証時のそれぞれにおいて、マニューシャの情報を取得する際に用いられる座標系が異なる。そのため、「登録された指紋」に含まれるマニューシャと、「認証したい指紋」に含まれるマニューシャとの一致を、それらのマニューシャの座標や隆線角度の近さによって判定することができない。その代わりに、マニューシャ対の相関関係の、つまり、一つの指紋に含まれる二つのマニューシャの位置や隆線角度の関係の、「登録された指紋」及び「認証したい指紋」間での一致を調べる。こうすることによって、二つの指紋が一致するかどうかを判定する方法が知られている。【００１２】
非特許文献１では、生体情報の位置と回転との補正を必要としない、マニューシャを用いた指紋認証方式の一例が提案されている。【００１３】
非特許文献１の指紋認証の方法について説明する。非特許文献１の指紋認証方式は３つのアルゴリズム、比較表生成アルゴリズム、適合表生成アルゴリズム、適合表検証アルゴリズムからなる。【００１４】
比較表生成アルゴリズムは、一つの指紋から抽出されたマニューシャの情報及びＢｏｚｏｒｔｈパラメータを入力として受け取り、マニューシャ対の相関関係を表す比較表を出力するアルゴリズムである。これらのマニューシャの情報は、生体情報の位置と回転との補正をせずに取得したマニューシャの情報であってよい。比較表は、入力されたマニューシャのマニューシャ対のそれぞれに含まれる、２つのマニューシャ間の相関関係を調べた結果を含む。【００１５】
例えば、二つのマニューシャ(x[i],y[i],t[i])と(x[j],y[j],t[j])との関係は図１８のように調べられ、比較表の各行には次の（１）から（６）の６つの値が格納される。
（１）２つのマニューシャiとjとの距離d、すなわちd=√((x1[i]-x1[j])^2+(y[i]-y[j])^2)、
（２）２つのマニューシャiとjとを結んだ直線とマニューシャiの隆線のなす角βiと２つのマニューシャiとjを結んだ直線とマニューシャjの隆線のなす角βjのうち小さい方βs、
（３）２つのマニューシャiとjとを結んだ直線とマニューシャiの隆線のなす角βiと２つのマニューシャiとjとを結んだ直線とマニューシャjの隆線のなす角βjのうち大きい方βl、
（４）インデックスi、
（５）インデックスj、
（６）回転角、すなわち２つのマニューシャiとjとを結んだ直線のなす角θ
各マニューシャ対の相関関係を含む比較表が、比較表生成アルゴリズムの出力である。状況に応じて入力されるＢｏｚｏｒｔｈパラメータにより、比較表が全てのマニューシャ対についての情報を含む場合や、入力のパラメータに従って選ばれたマニューシャ対についての情報のみを含む場合がある。【００１６】
適合表生成アルゴリズムは、二つの指紋のそれぞれに対応する二つの比較表及びそのＢｏｚｏｒｔｈパラメータを入力として受け取り、それらの二つの指紋のマニューシャの情報の相関関係を表す適合表を生成するアルゴリズムである。適合表の生成では、第１に、二つの比較表の各行に含まれる情報のうち、マニューシャ対の距離及び、マニューシャを結んだ直線と隆線の２種類のなす角の値のそれぞれが比較される。そして、第２に、それらの３種類の値のそれぞれに対応する差が全て閾値以下であれば、二つのマニューシャ対が一致するとみなされる。そして、第３に、それらのマニューシャ対のインデックス情報と二つのマニューシャ対の回転角の差が適合表に記録される。【００１７】
例えば、一つ目の比較表に格納されているマニューシャ対(d1、βs1、βl1、i1、j1、θ1)と二つ目の比較表に格納されているマニューシャ対(d2、βs2、βl2、i2、j2、θ2)との関係を調べるとする。この場合、そのＢｏｚｏｒｔｈパラメータに含まれる、マニューシャ対の距離及び角度差のそれぞれに関する閾値、Δd及びΔβに対して以下の（１）から（３）が全て満たされるならば、二つのマニューシャ対が一致するとみなされる。そして、(i1、j1、i2、j2、θ1-θ2)が適合表に格納される。
（１）(d1-d2)^2≦Δd
（２）(βs1-βs2)^2≦Δβ
（３）(βl1-βl2)^2≦Δβ
一致するとみなされたマニューシャ対の組についての情報を格納した適合表が、適合表生成アルゴリズムの出力である。状況に応じて入力されるＢｏｚｏｒｔｈパラメータにより、適合表が、一致するとみなされた全てのマニューシャ対についての情報を含む場合、又は、入力のパラメータに従って選ばれたマニューシャ対についての情報のみを含む場合が、ある。【００１８】
適合表検証アルゴリズムは、その適合表及びＢｏｚｏｒｔｈパラメータを入力として受け取り、スコアを出力するアルゴリズムである。そのスコアの出力において、第１に、その適合表に含まれるマニューシャ対の関係の情報から、Ｂｏｚｏｒｔｈパラメータに従って一致するとみなされる、マニューシャの組をノードとする無向グラフが作成される。第２に、その無向グラフの最長パスがスコアとして出力される。【００１９】
認証時に生成された適合表を検証した結果得られたスコアは、二つの指紋の類似度を表す。その類似度は、その値が大きいほど二つの指紋が近いことを意味する。【００２０】
非特許文献１の指紋認証方式において生体情報を登録する際には、「登録する指紋」のマニューシャの情報が比較表生成アルゴリズムに入力され、登録用比較表が生成される。次に、生成された登録用比較表がテンプレートとしてデータベースに保存される。【００２１】
また、認証を行う際には、まず、「認証したい指紋」のマニューシャの情報が比較表生成アルゴリズムに入力され、認証用比較表が生成される。次に、上述のテンプレートである登録用比較表とその認証用比較表とが適合表生成アルゴリズムに入力され、適合表が生成される。最後に、適合表が適合表検証アルゴリズムに入力され、「登録された指紋」と「認証したい指紋」とが近いかどうかのスコアが出力される。【００２２】
生体情報は基本的に生涯不変である。従って、生体情報が一度漏洩してしまうと、その生体情報を用いた認証は危険である。そのため、特許文献１、特許文献２、非特許文献２、非特許文献３及び非特許文献４に開示されるような、生体情報が漏洩せず、生体情報を秘匿したまま認証を行うことが可能な、生体認証方式が、考えられている。【００２３】
特許文献１、特許文献２、非特許文献２は、マニューシャに基づく生体認証方式の一例を開示する。これらの文献に開示された方式は、あらかじめ定められた方法により、生体情報の位置と回転とを補正する。その後、その方式は、マニューシャの座標と隆線角度とを抽出する。特許文献１、特許文献２に開示された方式は、暗号化により、登録した生体情報や認証したい生体の生体情報を秘匿する。また、非特許文献２に開示された方式は、暗号化により、認証したい生体の生体情報を秘匿する。【００２４】
特許文献１、特許文献２及び非特許文献２に開示された方式は、暗号化のために、加法準同型公開鍵暗号及びそれを利用したprivate set intersectionを用いて構成される。加法準同型公開鍵暗号として、例えばPaillier暗号などが知られている。【００２５】
非特許文献３及び非特許文献４は、生体認証方式の一例を開示する。これらの方式は、生体情報の位置と回転との補正を必要としない。また、これらの方式では、クライアントは、生体情報以外の、秘密情報を保持する。そして、これらの方式は、登録時と認証時とにその秘密情報を用いる。
【先行技術文献】
【特許文献】
【００２６】
【特許文献１】国際公開第２０１４／１８５４５０号
【特許文献２】国際公開第２０１４／１８５４４７号
【非特許文献】
【００２７】
【非特許文献１】Craig I. Watson, Michael D. Garris, Elham Tabassi, Charles L. Wilson, R. Michael McCabe, Stanley Janet, and Kenneth Ko, “Users Guide to Export Controlled Distribution of NIST Biometric Image Software (NBIS-EC)”4.2章, National Institute of Standards and Technology, July 16, 2007
【非特許文献２】Siamak F. Shahandashti, Reihaneh Safavi-Naini, and Philip Ogunbona, “Private Fingerprint Matching”, ACISP 2012.
【非特許文献３】Matteo Ferrara, Davide Maltoni, and Raffaele Cappelli, "Noninvertible Minutia Cylinder-Code Representation", IEEE Transactions on Information Forensics and Security, 2012, 7.
【非特許文献４】Leila Mirmohamadsadeghi and Andrzej Drygajlo, "A template privacy protection scheme for fingerprint minutiae descriptors", BIOSIG 2013.
【発明の概要】
【発明が解決しようとする課題】
【００２８】
しかし、上述した先行技術文献に記載された技術には、個人情報である生体情報の漏洩を防止するために、その生体情報以外の情報を必要とするという問題点があった。その生体情報以外の情報は、指紋の位置や回転を補正するために必要な情報や、クライアントが持つ生体情報以外の秘密情報などの、少なくともいずれか一つである。その理由は、以下の通りである。【００２９】
まず、非特許文献１に記載されている指紋認証方式は、上述したように、指紋の特徴点であるマニューシャの間の距離や隆線角度の関係に基づいて認証を行う方式である。この方式のテンプレートは、「登録する指紋」から生成した比較表である。比較表は、指紋に含まれる複数のマニューシャ対の相関関係を表す。そして、この比較表からマニューシャの情報を復元することができる。従って、この方式のテンプレートが漏洩すると、テンプレートの生成に用いられた生体情報が漏洩する。【００３０】
特許文献１、特許文献２及び非特許文献２に記載されている生体認証方式は、登録、認証時に指紋の位置と回転の補正が必要である。指紋の位置や回転を補正するために必要な情報が手に入らなかった場合には、これらの方法を用いることができない。【００３１】
非特許文献３及び非特許文献４に記載されている生体認証方式は、クライアントが指紋以外の秘密情報を保持する必要がある。秘密情報はクライアントが厳重に管理しなくてはならない。【００３２】
そこで、生体情報の位置と回転との補正が不要で、かつ、クライアントが生体情報以外の秘密情報を持つ必要がなく、かつ、生体情報が外部に漏洩することのない、生体認証方式が要望される。【００３３】
本発明の目的は、処理対象情報の位置と回転との補正が不要で、かつ、クライアントがその処理対象情報以外の秘密情報を持つ必要がなく、かつ、その処理対象情報が外部に漏洩することのない、認証を実現する情報処理システム、ノード、認証方法等を提供することにある。
【課題を解決するための手段】
【００３４】
本発明の情報処理システムの一様態は、登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートを生成する登録手段と、前記テンプレートを記憶する記憶手段と認証される情報である認証情報に含まれる特徴間の第２の相関関係に基づいて認証データを生成する認証データ生成手段と、前記テンプレートと前記認証データと前記公開鍵とに基づいて、前記第１の相関関係と前記第２の相関関係と間の関係を示す、前記暗号化方式に対応する演算結果である、暗号文を含む照合データを生成する照合データ生成手段と、前記公開鍵と前記公開鍵に対応する秘密鍵とを生成する鍵生成手段と、前記照合データと前記秘密鍵と前記第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータとに基づいて、前記登録情報と前記認証情報の類似度を示す、適合情報を生成する適合情報生成手段と、前記適合情報に基づいて、認証結果を生成し、出力する適合検証手段と、を含み、前記鍵生成手段及び適合情報生成手段のいずれかを含むノードと、前記登録手段、前記記憶手段、認証データ生成手段及び照合データ生成手段のいずれかを含むノードとが異なり、前記記憶手段と前記適合検証手段のいずれかを含むノードと、前記登録手段、認証データ生成手段のいずれかを含むノードとが更に異なる。【００３５】
本発明の認証方法一様態は、登録される情報である登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートを受信し、認証される情報である認証情報に含まれる特徴間の第２の相関関係を含む認証データを受信し、少なくとも前記テンプレートと前記認証データと前記公開鍵とに基づいて、前記第１の暗号化相関関係及び前記第２の相関関係に対する、前記暗号化方式に対応する演算結果である、暗号文を含む照合データを生成し、前記照合データを、前記公開鍵に対応する秘密鍵を使用可能な、前記照合データと前記秘密鍵と前記第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータとに基づいて前記登録情報と前記認証情報の類似度を示す認証結果を出力する、検証手段に送信する。【００３６】
本発明の記録媒体に格納されたプログラムの一様態は、登録される情報である登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートを受信する処理と、認証される情報である認証情報に含まれる特徴間の第２の相関関係を含む認証データを受信する処理と、前記テンプレートと前記認証データと前記公開鍵とに基づいて、前記第１の暗号化相関関係及び前記第２の相関関係に対する、前記暗号化方式に対応する演算結果である、暗号文を含む照合データを生成する処理と、前記照合データを、前記公開鍵に対応する秘密鍵を使用可能な、前記照合データと前記秘密鍵と前記第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータとに基づいて前記登録情報と前記認証情報の類似度を示す認証結果を出力する検証手段に送信する処理と、をコンピュータに実行させる。
【発明の効果】
【００３７】
本発明によれば、処理対象情報の位置と回転との補正が不要で、かつ、クライアントがその処理対象情報以外の秘密情報を持つ必要がなく、かつ、その処理対象情報が外部に漏洩することのない、認証を実現することが可能になる。
【図面の簡単な説明】
【００３８】
【図１】本発明の第１、３及び４の実施形態に係る認証システムの構成を示すブロック図である。
【図２】第１乃至６の実施形態における登録者装置の構成の一例を示すブロック図である。
【図３】第１、３及び４の実施形態における認証者装置の構成の一例を示すブロック図である。
【図４】第１、３及び４の実施形態における記憶装置の構成の一例を示すブロック図である。
【図５】第１、３及び４の実施形態におけるサーバ装置の構成の一例を示すブロック図である。
【図６】第１乃至６の実施形態における補助装置の構成の一例を示すブロック図である。
【図７】第１乃至７の実施形態におけるテンプレート記憶部の構造の一例を示す図である。
【図８】第１の実施形態における各装置を実現するコンピュータのハードウエア構成を示すブロック図である。
【図９】第１乃至６の実施形態の準備フェーズの動作の一例を示すフローチャートである。
【図１０】第１乃至６の実施形態の登録フェーズの動作の一例を示すフローチャートである。
【図１１】第１、３、及び４の実施形態の認証フェーズの動作の一例を示すフローチャートである。
【図１２】本発明の第２、５及び６の実施形態に係る認証システムの構成を示すブロック図である。
【図１３】第２、５及び６の実施形態における認証者装置の構成の一例を示すブロック図である。
【図１４】第２、５及び６の実施形態における記憶装置の構成の一例を示すブロック図である。
【図１５】第２、５及び６の実施形態におけるサーバ装置の構成の一例を示すブロック図である。
【図１６】第２、５及び６の実施形態の認証フェーズの動作を示すフローチャートである。
【図１７】本発明の第７の実施形態に係る認証システムの構成を示すブロック図である。
【図１８】非特許文献１の比較表生成アルゴリズムで調べるマニューシャの関係を表す図である。
【発明を実施するための形態】
【００３９】
本発明を実施するための形態について図面を参照して詳細に説明する。尚、各図面及び明細書記載の各実施形態において、同様の構成要素には同一の符号を付与し、説明を適宜省略する。
【００４０】
以下の各実施形態では、登録情報及び認証情報として、生体の指紋から抽出されたマニューシャの情報を用いるものとする。各実施形態の認証システムは、マニューシャを用いることに限定されず、登録情報及び認証情報は指紋の情報に限定されない。
【００４１】
［第１の実施形態］
［構成の説明］
図１は、第１の実施形態に係る認証システム（情報処理システムとも呼ばれる）１００の構成を示すブロック図である。
【００４２】
図１に示すように、認証システム１００は、登録者装置１０、認証者装置２０、記憶装置３０、サーバ装置４０、及び補助装置５０を含む。登録者装置１０、認証者装置２０、記憶装置３０、サーバ装置４０、及び補助装置５０のそれぞれは、ノードとも呼ばれる。登録者装置１０、認証者装置２０、記憶装置３０、サーバ装置４０、及び補助装置５０は、図示しないネットワークにより、互いに接続される。
【００４３】
尚、図１は認証システム１００が５つのノードによって構成される場合を例示するが、本実施形態の認証システム１００は図１の様態に限定されない。例えば、登録者装置１０と認証者装置２０とをまとめて第１のノードとし、記憶装置３０とサーバ装置４０とをまとめて第２のノードとし、補助装置５０を第３のノードとしてもよい。
【００４４】
本実施形態では、各構成要素にパラメータが入力される。これらのパラメータは、パラメータ８０５及びセキュリティパラメータ８０６を含む。パラメータ８０５は、閾値を含み、前述の比較表生成アルゴリズム、適合表生成アルゴリズム及び適合表検証アルゴリズムの実行に必要なパラメータである。即ち、パラメータ８０５にはマニューシャ対の距離や角度差などに関する閾値情報が含まれる。これらのパラメータを利用しない構成要素には、当該パラメータは入力されなくてもよい。また、構成要素には、利用するパラメータが入力される。
【００４５】
＝＝＝登録者装置１０＝＝＝
図２は、登録者装置１０の構成の一例を示すブロック図である。図２に示すように、登録者装置１０は、登録比較表生成部１１、比較表秘匿化準備部１２及び比較表秘匿化部１３を含む。
【００４６】
また、図２に示すように、登録者装置１０は、登録マニューシャ情報８０１、登録生体識別子８０２、パラメータ８０５及び公開鍵８０８を取得する。登録マニューシャ情報８０１は、登録する生体の指紋から抽出したマニューシャ（特徴点とも呼ばれる）に関する情報である。登録生体識別子８０２は、登録する生体に対応する識別子である。公開鍵８０８は、補助装置５０が公開する鍵である（公開鍵の詳細については後述する）。
【００４７】
登録比較表生成部１１は、登録マニューシャ情報８０１とパラメータ８０５とに基づいて、登録マニューシャ情報８０１に含まれるマニューシャ対の相関関係を表す登録用比較表８１１（詳細については後述する）を生成する。
【００４８】
比較表秘匿化準備部１２は、登録用比較表８１１及びパラメータ８０５に基づいて、秘匿用比較表（詳細については後述する）８１２を生成する。例えば、比較表秘匿化準備部１２は、登録用比較表８１１をそのまま秘匿用比較表８１２としてもよい。この場合、登録者装置１０が比較表秘匿化準備部１２を含まず、登録比較表生成部１１が比較表秘匿化部１３へ登録用比較表８１１（秘匿用比較表８１２）を送信してよい。
【００４９】
比較表秘匿化部１３は、登録生体識別子８０２、秘匿用比較表８１２及び公開鍵８０８に基づいて、登録テンプレート組８１０３を生成する。比較表秘匿化部１３は、記憶装置３０へ登録テンプレート組８１０３を送信する。登録テンプレート組８１０３は、秘匿用比較表８１２が公開鍵８０８を用いて暗号化されたテンプレート８１３とそのテンプレート８１３に対応する登録生体識別子８０２との組である。尚、比較表秘匿化部１３は、更に「登録する生体に関する他の情報」を登録テンプレート組８１０３に紐づけて、送信してもよい。
【００５０】
また、比較表秘匿化部１３は、テンプレート８１３だけを、記憶装置３０へ送信してもよい。この場合、記憶装置３０は、受信したテンプレート８１３に対応する登録生体識別子８０２を、比較表秘匿化部１３に送信してもよい。即ち、テンプレート８１３と登録生体識別子８０２との組の管理は、記憶装置３０が実行してもよい。
【００５１】
＝＝＝認証者装置２０＝＝＝
図３は、認証者装置２０の構成の一例を示すブロック図である。図３に示すように、認証者装置２０は、認証要求生成部２１、認証比較表生成部（認証データ生成部とも呼ばれる）２２及び照合データ生成部２４を含む。
【００５２】
また、図３に示すように、認証者装置２０は、認証マニューシャ情報８０３、認証生体識別子８０４、パラメータ８０５及び公開鍵８０８を取得する。認証マニューシャ情報８０３は、認証される生体の指紋から抽出したマニューシャの情報である。認証生体識別子８０４は、認証される生体に対応する識別子である。
【００５３】
認証要求生成部２１は、認証生体識別子８０４を含む認証要求８２１を記憶装置３０へ送信する。更に、認証要求生成部２１は、その認証要求８２１の応答として、認証者用テンプレート８３２を受信する。認証者用テンプレート８３２は、認証者装置２０向けのテンプレートである。
【００５４】
認証比較表生成部２２は、認証マニューシャ情報８０３とパラメータ８０５とに基づいて、認証マニューシャ情報８０３に含まれるマニューシャ対の相関関係を表す認証用比較表（詳細は後述）８２２を生成する。
【００５５】
照合データ生成部２４は、認証用比較表８２２、記憶装置３０から受け取った認証者用テンプレート８３２、及び公開鍵８０８に基づいて、照合データ８２４を生成する。照合データ８２４は、認証者用テンプレート８３２に含まれる第１の相関関係と認証用比較表８２２に含まれる第２の相関関係との間の関係を示す、特定の暗号化方式に対応する演算結果である、暗号文を含む。その特定の暗号化方式は、公開鍵８０８及び秘密鍵８０９の生成の際に、後述する鍵生成部５１（図６）が前提とする暗号化方式である。照合データ８２４は、復号すると登録マニューシャ情報８０１と認証マニューシャ情報８０３が近いか否かを判定するのに用いることができるが、それ以外の登録されたマニューシャや認証するマニューシャに関する情報を漏洩しない暗号文である。
【００５６】
＝＝＝記憶装置３０＝＝＝
図４は、記憶装置３０の構成の一例を示すブロック図である。図４に示すように、記憶装置３０は、テンプレート記憶部３１及び認証者用テンプレート生成部３２を含む。
【００５７】
テンプレート記憶部３１は、登録者装置１０から受け取った登録テンプレート組８１０３を記憶する。
【００５８】
認証者用テンプレート生成部３２は、認証要求８２１に含まれる認証生体識別子８０４に基づいて、テンプレート記憶部３１が記憶している登録テンプレート組８１０３からテンプレート８１３を抽出する。具体的には、認証者用テンプレート生成部３２は、認証生体識別子８０４と同じ値の登録生体識別子８０２を含む、登録テンプレート組８１０３に含まれるテンプレート８１３を抽出する。そして、認証者用テンプレート生成部３２は、そのテンプレート８１３を認証者用テンプレート８３２として、認証者装置２０へ送信する。
【００５９】
＝＝＝サーバ装置４０＝＝＝
図５は、サーバ装置４０の内部構成の一例を示すブロック図である。図５に示すように、サーバ装置４０は、照合データ転送部４２及び適合表検証部（適合検証部とも呼ばれる）４３を含む。
【００６０】
照合データ転送部４２は、認証者装置２０から受け取った照合データ８２４を補助装置５０へ送信する。尚、認証要求生成部２１、照合データ生成部２４及び照合データ転送部４２は、合わせて照合データ生成手段とも呼ばれる。
【００６１】
適合表検証部４３は、補助装置５０から受信した適合表（適合情報とも呼ばれる）８５５と、パラメータ８０５とに基づいて、認証結果８４３を生成する。
【００６２】
＝＝＝補助装置５０＝＝＝
図６は、補助装置５０の内部構成の一例を示すブロック図である。図６に示すように、補助装置５０は、鍵生成部５１、秘密鍵記憶部５２、照合データ復号部５３、復号後照合データ検証部５４、及び適合表生成部５５を含む。
【００６３】
鍵生成部５１は、セキュリティパラメータ８０６に基づいて、公開鍵８０８と秘密鍵８０９を生成し、公開鍵８０８を公開する。公開鍵８０８は補助装置５０が記憶してもよいし、外部の掲示板などに公開してもよい。
【００６４】
秘密鍵記憶部５２は、鍵生成部５１が生成した秘密鍵８０９を記憶する。
【００６５】
照合データ復号部５３は、サーバ装置４０から受け取った照合データ８２４と秘密鍵８０９とに基づいて、復号後照合データ８５３を生成する。
【００６６】
復号後照合データ検証部５４は、復号後照合データ８５３とパラメータ８０５とに基づいて、検証後照合データ８５４を生成する。
【００６７】
適合表生成部５５は、検証後照合データ８５４、秘密鍵８０９及びパラメータ８０５に基づいて、適合表８５５を生成する。
【００６８】
図７は、記憶装置３０のテンプレート記憶部３１の構造の一例を示す図である。図７に示すように、テンプレート記憶部３１は、登録生体識別子８０２とテンプレート８１３との組を含む、登録テンプレート組８１０３を含む。
【００６９】
以上説明した図２乃至図６に示す各構成要素は、ハードウエア単位の回路でも、マイクロチップに含まれるモジュールでも、コンピュータ装置の機能単位に分割された構成要素でもよい。ここでは、図２乃至図６に示す構成要素が、コンピュータ装置の機能単位に分割された構成要素であるものとして説明している。
【００７０】
次に、本実施形態をコンピュータ装置で実現する場合のハードウエア単位の構成要素について、説明する。
【００７１】
図８は、本実施形態における登録者装置１０、認証者装置２０、記憶装置３０、サーバ装置４０及び補助装置５０のそれぞれを実現するコンピュータ７００のハードウエア構成を示す図である。
【００７２】
図８に示すように、コンピュータ７００は、プロセッサ７０１、記憶部７０２、記憶装置７０３、入力部７０４、出力部７０５及び通信部７０６を含む。更に、コンピュータ７００は、外部から供給される記録媒体（または記憶媒体）７０７を含む。例えば、記録媒体７０７は、情報を非一時的に記憶する不揮発性記録媒体（非一時的記録媒体）である。また、記録媒体７０７は、情報を信号として保持する、一時的記録媒体であってもよい。
【００７３】
プロセッサ７０１は、オペレーティングシステム（不図示）を動作させて、コンピュータ７００の全体の動作を制御する。例えば、プロセッサ７０１は、記憶装置７０３に装着された記録媒体７０７から、そのプログラムやデータを読み込み、読み込んだそのプログラムやそのデータを記憶部７０２に書き込む。ここで、そのプログラムは、例えば、後述の図９、図１０及び図１１に示すフローチャートの動作をコンピュータ７００に実行させるためのプログラムである。
【００７４】
そして、登録者装置１０において、プロセッサ７０１は、その読み込んだプログラムに従って、またその読み込んだデータに基づいて、図２に示す登録比較表生成部１１、比較表秘匿化準備部１２、比較表秘匿化部１３として各種の処理を実行する。同様に、認証者装置２０において、プロセッサ７０１は、図３に示す、認証要求生成部２１、認証比較表生成部２２及び照合データ生成部２４として各種の処理を実行する。同様に、記憶装置３０において、プロセッサ７０１は、図４に示す、認証者用テンプレート生成部３２として各種の処理を実行する。同様に、サーバ装置４０において、プロセッサ７０１は、図５に示す、照合データ転送部４２及び適合表検証部４３として各種の処理を実行する。同様に、補助装置５０において、プロセッサ７０１は、図６に示す、鍵生成部５１、照合データ復号部５３、復号後照合データ検証部５４及び適合表生成部５５として各種の処理を実行する。
【００７５】
尚、プロセッサ７０１は、通信網（不図示）に接続される外部コンピュータ（不図示）から、記憶部７０２にそのプログラムやそのデータをダウンロードしてもよい。
【００７６】
記憶部７０２は、そのプログラムやそのデータを記憶する。記憶装置３０において、記憶部７０２は、図４に示すテンプレート記憶部３１を含んでよい。また、記憶部７０２は、補助装置５０において、図６に示す秘密鍵記憶部５２を含んでよい。更に、記憶部７０２の任意の部分が、登録者装置１０、認証者装置２０、記憶装置３０、サーバ装置４０及び補助装置５０のそれぞれにおいて、各構成要素の一部として含まれてもよい。
【００７７】
記憶装置７０３は、例えば、光ディスクや、フレキシブルディスク、磁気光ディスク、外付けハードディスク半導体メモリなどである。記憶装置７０３は、そのプログラムをコンピュータ読み取り可能に記憶する。また、記憶装置７０３は、そのデータを記憶してもよい。記憶装置３０において、記憶装置７０３は、図４に示すテンプレート記憶部３１を含んでよい。また、補助装置５０において、記憶装置７０３は、図６に示す秘密鍵記憶部５２を含んでよい。更に、記憶装置７０３の任意の部分が、登録者装置１０、認証者装置２０、記憶装置３０、サーバ装置４０及び補助装置５０のそれぞれにおいて、各構成要素の一部として含まれてもよい。
【００７８】
入力部７０４は、オペレータによる操作の入力や外部からの情報の入力を受け付ける。入力操作に用いられるデバイスは、例えば、マウスや、キーボード、内蔵のキーボタン、及びタッチパネルなどである。入力部７０４は、登録者装置１０、認証者装置２０、記憶装置３０、サーバ装置４０及び補助装置５０のそれぞれにおいて、各構成要素の一部として含まれてもよい。
【００７９】
出力部７０５は、例えばディスプレイで実現される。出力部７０５は、例えばＧＵＩ（ＧＲＡＰＨＩＣＡＬ  Ｕｓｅｒ  Ｉｎｔｅｒｆａｃｅ）によるオペレータへの入力要求や、オペレータに対する出力提示などのために用いられる。出力部７０５は、登録者装置１０、認証者装置２０、記憶装置３０、サーバ装置４０及び補助装置５０のそれぞれにおいて、各構成要素の一部として含まれてもよい。
【００８０】
通信部７０６は、外部とのインタフェースを実現する。通信部７０６は、登録者装置１０、認証者装置２０、記憶装置３０、サーバ装置４０及び補助装置５０のそれぞれにおいて、各構成要素の一部として含まれてもよい。
【００８１】
以上説明したように、登録者装置１０、認証者装置２０、記憶装置３０、サーバ装置４０及び補助装置５０のそれぞれを機能単位の各構成要素は、図８に示すハードウエア構成のコンピュータ７００によって実現される。但し、コンピュータ７００が備える各部の実現手段は、上記に限定されない。すなわち、コンピュータ７００は、物理的に結合した１つの装置により実現されてもよいし、物理的に分離した２つ以上の装置を有線または無線で接続し、これら複数の装置により実現されてもよい。
【００８２】
尚、上述のプログラムのコードを記録した記録媒体７０７が、コンピュータ７００に供給される場合、プロセッサ７０１は、記録媒体７０７に格納されたそのプログラムのコードを読み出して実行してもよい。或いは、プロセッサ７０１は、記録媒体７０７に格納されたそのプログラムのコードを、記憶部７０２、記憶装置７０３またはその両方に格納してもよい。すなわち、本実施形態は、コンピュータ７００（プロセッサ７０１）が実行するそのプログラム（ソフトウエア）を、一時的にまたは非一時的に、記憶する記録媒体７０７の実施形態を含む。尚、情報を非一時的に記憶する記録媒体は、不揮発性記録媒体とも呼ばれる。
【００８３】
以上が、本実施形態における登録者装置１０、認証者装置２０、記憶装置３０、サーバ装置４０及び補助装置５０のそれぞれを実現するコンピュータ７００の、ハードウエア単位の各構成要素についての説明である。
【００８４】
［動作の説明］
次に、図面を参照して、本実施形態の全体の動作について詳細に説明する。
【００８５】
認証システム１００の動作は、準備フェーズ、登録フェーズ、及び認証フェーズの３つのフェーズに大別される。
【００８６】
準備フェーズでは、補助装置５０が公開鍵暗号方式の公開鍵８０８と秘密鍵８０９とを生成する。
【００８７】
登録フェーズでは、登録者装置１０が、登録マニューシャ情報８０１に基づいて、マニューシャ対の相関関係を表す登録用比較表８１１を生成し、その登録用比較表８１１と公開鍵８０８とに基づいて、テンプレート８１３を生成する。そして、記憶装置３０がそのテンプレート８１３を記憶する。
【００８８】
認証フェーズでは、サーバ装置４０が、認証者装置２０に入力された認証マニューシャ情報８０３と、登録マニューシャ情報８０１が近いかどうかを表す暗号文を照合データ８２４として補助装置５０に送信する。そして、補助装置５０が、２つのマニューシャの情報が近いかどうかを補助装置５０に記憶されている秘密鍵８０９を用いて判定する。
【００８９】
以下、各フェーズにおける動作を詳細に説明する。
【００９０】
［準備フェーズ］
図９は、本実施形態の準備フェーズにおける、動作の一例を示すフローチャートである。尚、本実施形態は、図９に示す様態に限定されない。
【００９１】
補助装置５０の鍵生成部５１は、セキュリティパラメータ８０６に基づいて、公開鍵８０８及び秘密鍵８０９を生成する（ステップＡ１）。
【００９２】
例えば、セキュリティパラメータ８０６は、図８に示す記憶部７０２或いは記憶装置７０３に、予め記憶されていてよい。また、鍵生成部５１は、図８に示す入力部７０４を介して操作者が入力した、セキュリティパラメータ８０６を取得してもよい。また、鍵生成部５１は、図８に示す通信部７０６を介して図示しない機器から、セキュリティパラメータ８０６を受信してもよい。また、鍵生成部５１は、図８に示す記憶装置７０３を介して、記録媒体７０７に記録されたセキュリティパラメータ８０６を取得してもよい。
【００９３】
次に、鍵生成部５１は、公開鍵８０８を公開する（ステップＡ２）。
【００９４】
次に、鍵生成部５１は、秘密鍵８０９を秘密鍵記憶部５２に記憶させる（ステップＡ３）。
【００９５】
［登録フェーズ］
図１０は、本実施形態の登録フェーズにおける、動作の一例を示すフローチャートである。尚、本実施形態は、図１０に示す様態に限定されない。
【００９６】
登録者装置１０の登録比較表生成部１１は、登録マニューシャ情報８０１及びパラメータ８０５に基づいて、マニューシャ対の相関関係を表す登録用比較表８１１を生成する（ステップＢ１）。
【００９７】
例えば、登録マニューシャ情報８０１及びパラメータ８０５は、図８に示す記憶部７０２或いは記憶装置７０３に、予め記憶されていてよい。また、登録比較表生成部１１は、図８に示す入力部７０４を介して操作者が入力した、登録マニューシャ情報８０１及びパラメータ８０５を取得してもよい。また、登録比較表生成部１１は、図８に示す通信部７０６を介して図示しない機器から、登録マニューシャ情報８０１及びパラメータ８０５を受信してもよい。また、登録比較表生成部１１は、図８に示す記憶装置７０３を介して、記録媒体７０７に記録された登録マニューシャ情報８０１及びパラメータ８０５を取得してもよい。
【００９８】
次に、登録者装置１０の比較表秘匿化準備部１２は、登録用比較表８１１及びパラメータ８０５に基づいて、秘匿用比較表８１２を生成する（ステップＢ２）。
【００９９】
例えば、パラメータ８０５は、図８に示す記憶部７０２或いは記憶装置７０３に、予め記憶されていてよい。また、比較表秘匿化準備部１２は、図８に示す入力部７０４を介して操作者が入力した、パラメータ８０５を取得してもよい。また、比較表秘匿化準備部１２は、図８に示す通信部７０６を介して図示しない機器から、パラメータ８０５を受信してもよい。また、比較表秘匿化準備部１２は、図８に示す記憶装置７０３を介して、記録媒体７０７に記録されたパラメータ８０５を取得してもよい。
【０１００】
次に、登録者装置１０の比較表秘匿化部１３は、公開鍵８０８に基づいて、秘匿用比較表８１２を暗号化することで、登録マニューシャ情報８０１が復元されないように秘匿化処理を行い、テンプレート８１３を生成する（ステップＢ３）。
【０１０１】
比較表秘匿化部１３は、生成したテンプレート８１３と登録生体識別子８０２との組を、登録テンプレート組８１０３として記憶装置３０に送信する。（ステップＢ４）。
【０１０２】
例えば、登録生体識別子８０２は、図８に示す記憶部７０２或いは記憶装置７０３に、予め記憶されていてよい。また、比較表秘匿化部１３は、図８に示す入力部７０４を介して操作者が入力した、登録生体識別子８０２を取得してもよい。また、比較表秘匿化部１３は、図８に示す通信部７０６を介して図示しない機器から、登録生体識別子８０２を受信してもよい。また、比較表秘匿化部１３は、図８に示す記憶装置７０３を介して、記録媒体７０７に記録された登録生体識別子８０２を取得してもよい。
【０１０３】
次に、記憶装置３０のテンプレート記憶部３１は、受信した登録テンプレート組８１０３を記憶する（ステップＢ５）。
【０１０４】
［認証フェーズ］
図１１は、本実施形態の認証フェーズにおける、動作の一例を示すフローチャートである。尚、本実施形態は、図１１に示す様態に限定されない。例えば、以下で説明するステップＣ２の前にステップＣ３を実行してもよい。
【０１０５】
まず、認証者装置２０の認証要求生成部２１は、認証生体識別子８０４を含む認証要求８２１を生成し、記憶装置３０に送信する（ステップＣ１）。
【０１０６】
例えば、認証生体識別子８０４は、図８に示す記憶部７０２或いは記憶装置７０３に、予め記憶されていてよい。また、認証要求生成部２１は、図８に示す入力部７０４を介して操作者が入力した、認証生体識別子８０４を取得してもよい。また、認証要求生成部２１は、図８に示す通信部７０６を介して図示しない機器から、認証生体識別子８０４を受信してもよい。また、認証要求生成部２１は、図８に示す記憶装置７０３を介して、記録媒体７０７に記録された認証生体識別子８０４を取得してもよい。
【０１０７】
次に、記憶装置３０の認証者用テンプレート生成部３２は、その認証要求８２１に含まれる認証生体識別子８０４に基づいて、テンプレート記憶部３１が記憶している登録テンプレート組８１０３からテンプレート８１３を抽出する。認証者用テンプレート生成部３２は、抽出したテンプレート８１３を認証者用テンプレート８３２としてを認証者装置２０に送信する（ステップＣ２）。
【０１０８】
次に、認証者装置２０の認証比較表生成部２２は、認証マニューシャ情報８０３とパラメータ８０５とに基づいて、マニューシャ対の相関関係を示す認証用比較表８２２を生成する（ステップＣ３）。
【０１０９】
例えば、認証マニューシャ情報８０３は、図８に示す記憶部７０２或いは記憶装置７０３に、予め記憶されていてよい。また、認証比較表生成部２２は、図８に示す入力部７０４を介して操作者が入力した、認証マニューシャ情報８０３を取得してもよい。また、認証比較表生成部２２は、図８に示す通信部７０６を介して図示しない機器から、認証マニューシャ情報８０３を受信してもよい。また、認証比較表生成部２２は、図８に示す記憶装置７０３を介して、記録媒体７０７に記録された認証マニューシャ情報８０３を取得してもよい。
【０１１０】
次に、認証者装置２０の照合データ生成部２４は、認証用比較表８２２、記憶装置３０から受け取った認証者用テンプレート８３２、及び公開鍵８０８に基づいて、照合データ８２４を生成する（ステップＣ５）。
【０１１１】
次に、照合データ生成部２４は、生成したその照合データ８２４をサーバ装置４０に送信する（ステップＣ６）。尚、照合データ生成部２４は、照合データ８２４とその照合データ８２４に対応する登録生体識別子８０２との組を、サーバ装置４０に送信してもよい。
【０１１２】
次に、サーバ装置４０の照合データ転送部４２は、認証者装置２０から受け取った照合データ８２４を補助装置５０に送信する（ステップＣ７）。或いは、照合データ転送部４２は、認証者装置２０から受け取った、照合データ８２４とその照合データ８２４に対応する登録生体識別子８０２との、組を補助装置５０に送信する
次に、補助装置５０の照合データ復号部５３は、サーバ装置４０から受け取った照合データ８２４を秘密鍵８０９に基づいて復号する。照合データ復号部５３は、復号化された照合データとして復号後照合データ８５３を生成する。（ステップＣ８）。
【０１１３】
次に、補助装置５０の復号後照合データ検証部５４は、復号後照合データ８５３、パラメータ８０５、及び秘密鍵８０９に基づいて、復号後照合データ８５３を検証する。さらに、復号後照合データ検証部５４は、検証された照合データとして検証後照合データ８５４を生成する（ステップＣ９）。
【０１１４】
例えば、パラメータ８０５は、図８に示す記憶部７０２或いは記憶装置７０３に、予め記憶されていてよい。また、復号後照合データ検証部５４は、図８に示す入力部７０４を介して操作者が入力した、パラメータ８０５を取得してもよい。また、復号後照合データ検証部５４は、図８に示す通信部７０６を介して図示しない機器から、パラメータ８０５を受信してもよい。また、復号後照合データ検証部５４は、図８に示す記憶装置７０３を介して、記録媒体７０７に記録されたパラメータ８０５を取得してもよい。
【０１１５】
次に、補助装置５０の適合表生成部５５は、検証後照合データ８５４、秘密鍵８０９、及びパラメータ８０５に基づいて、登録マニューシャ情報８０１と認証マニューシャ情報８０３の相関関係を表す適合表８５５を生成する（ステップＣ１０）。
【０１１６】
適合表生成部５５は、適合表８５５をサーバ装置４０に送信する（ステップＣ１１）。尚、適合表生成部５５は、適合表８５５とその適合表８５５に対応する登録生体識別子８０２との組を、サーバ装置４０に送信してもよい。
【０１１７】
次に、サーバ装置４０の適合表検証部４３は、補助装置５０から受信した適合表８５５とパラメータ８０５とに基づいて、認証結果８４３を生成して出力する（ステップＣ１２）。認証結果８４３は、例えば、認証者を受理するか拒否するかを表す値であってもよいし、認証結果８４３に関するスコアであってもよい。例えば、適合表検証部４３は、認証結果８４３を、認証者装置２０へ送信してもよい。
【０１１８】
例えば、パラメータ８０５は、図８に示す記憶部７０２或いは記憶装置７０３に、予め記憶されていてよい。また、適合表検証部４３は、図８に示す入力部７０４を介して操作者が入力した、パラメータ８０５を取得してもよい。また、適合表検証部４３は、図８に示す通信部７０６を介して図示しない機器から、パラメータ８０５を受信してもよい。また、適合表検証部４３は、図８に示す記憶装置７０３を介して、記録媒体７０７に記録されたパラメータ８０５を取得してもよい。
【０１１９】
［効果の説明］
上述した本実施形態における効果は、生体情報の位置と回転との補正が不要で、かつ、クライアントが生体情報以外の秘密情報を持つ必要がなく、かつ、生体情報が外部に漏洩することのない、生体認証を実現することが可能になる点である。
【０１２０】
その理由は、以下のような構成を含むからである。即ち、第１に登録者装置１０が登録マニューシャ情報８０１に対応するテンプレート８１３を生成する。第２に、認証者装置２０が認証マニューシャ情報８０３に対応する認証用比較表８２２を生成し、認証生体識別子８０４に対応するテンプレート８１３と認証用比較表８２２とに基づいて照合データ８２４を生成する。第３に、補助装置５０が照合データ８２４に基づいて、適合表８５５を生成する。第５に、サーバ装置４０が認証結果８４３を生成し、出力する。
【０１２１】
［第２の実施形態］
［構成の説明］
次に、第２の実施形態について図面を参照して詳細に説明する。
【０１２２】
図１２は、第２の実施形態に係る認証システム２００の構成を示すブロック図である。
【０１２３】
図１２に示すように、認証システム２００は、登録者装置１０、認証者装置１２０、記憶装置１３０、サーバ装置１４０、及び補助装置５０を含む。尚、図１２は認証システム２００が５つのノードによって構成される場合を例示するが、認証システム２００は、図１２に示す様態に限定されない。一例として、登録者装置１０と認証者装置１２０とをまとめて第１のノードとし、記憶装置１３０とサーバ装置１４０とをまとめて第２のノードとし、補助装置５０を第３のノードとしてもよい。
【０１２４】
＝＝＝認証者装置１２０＝＝＝
図１３は、認証者装置１２０の構成の一例を示すブロック図である。図１３に示すように、認証者装置１２０は、認証比較表生成部２２及び認証比較表秘匿化部１２３を含む。認証比較表生成部２２及び認証比較表秘匿化部１２３は、合わせて、認証データ生成部とも呼ばれる。
【０１２５】
認証比較表生成部２２は、図３に示す認証比較表生成部２２と同じである。
【０１２６】
認証比較表秘匿化部１２３は、認証用比較表８２２、公開鍵８０８、及びパラメータ８０５に基づいて、認証データ８１２３を生成する。
【０１２７】
＝＝＝記憶装置１３０＝＝＝
図１４は、記憶装置１３０の構成の一例を示すブロック図である。図１４に示すように、記憶装置１３０は、テンプレート記憶部３１及び登録テンプレート組送信部１３２を含む。
【０１２８】
テンプレート記憶部３１は、図４に示すテンプレート記憶部３１と同じである。
【０１２９】
登録テンプレート組送信部１３２は、テンプレート記憶部３１が記憶している登録テンプレート組８１０３を出力する。
【０１３０】
＝＝＝サーバ装置１４０＝＝＝
図１５は、サーバ装置１４０の構成の一例を示すブロック図である。図１５に示すように、サーバ装置１４０は、照合データ生成部１４１及び適合表検証部４３を含む。
【０１３１】
照合データ生成部１４１は、認証者装置１２０から受け取った認証データ８１２３、記憶装置１３０から受け取った登録テンプレート組８１０３、及び公開鍵８０８に基づいて、補助装置５０へ照合データ８２４を送信する。
【０１３２】
適合表検証部４３は、図５に示す適合表検証部４３と同じである。
【０１３３】
以上説明した図１３乃至図１５に示す各構成要素は、ハードウエア単位の回路でも、マイクロチップに含まれるモジュールでも、コンピュータ装置の機能単位に分割された構成要素でもよい。ここでは、図１３乃至図１５に示す構成要素が、コンピュータ装置の機能単位に分割された構成要素であるものとして説明している。
【０１３４】
本実施形態における、登録者装置１０、認証者装置１２０、記憶装置１３０、サーバ装置１４０及び補助装置５０は、第１の実施形態と同様に、コンピュータ７００で実現されてよい。尚、本実施形態のコンピュータ７００への詳細な展開は、前述の説明により容易に実現可能である為、その説明を省略する。
【０１３５】
［動作の説明］
次に、図面を参照して、本実施形態の動作について詳細に説明する。
【０１３６】
［準備フェーズ］
本実施形態の準備フェーズにおける、動作の一例を示すフローチャートは、第１の実施形態と同様に、図９に示すフローチャートである。尚、本実施形態は、図９に示す様態に限定されない。本実施形態の準備フェーズにおける各ステップの具体的な動作は、第１の実施形態の各ステップの具体的な動作と同様である。
【０１３７】
［登録フェーズ］
本実施形態の登録フェーズにおける、動作の一例を示すフローチャートは、第１の実施形態と同様に、図１０に示すフローチャートである。尚、本実施形態は、図１０に示す様態に限定されない。本実施形態の登録フェーズにおける各ステップの具体的な動作は、第１の実施形態の各ステップの具体的な動作と同様である。
【０１３８】
［認証フェーズ］
図１６は、本実施形態の認証フェーズにおける、動作の一例を示すフローチャートである。尚、本実施形態は、図１６に示す様態に限定されない。例えば、以下で説明するステップＧ３の前にステップＧ４を実行してもよい。
【０１３９】
認証者装置１２０の認証比較表生成部２２は、認証マニューシャ情報８０３とパラメータ８０５を入力として受け取り、認証用比較表８２２を生成する（ステップＧ１）。
【０１４０】
次に、認証者装置１２０の認証比較表秘匿化部１２３は、認証用比較表８２２、公開鍵８０８に基づいて、認証データ８１２３を生成する（ステップＧ２）。
【０１４１】
次に、認証比較表秘匿化部１２３は、サーバ装置１４０にその認証データ８１２３を送信する（ステップＧ３）。
【０１４２】
次に、記憶装置１３０の登録テンプレート組送信部１３２は、テンプレート記憶部３１が記憶している登録テンプレート組８１０３の全てを、サーバ装置１４０に送信する（ステップＧ４）。
【０１４３】
次に、サーバ装置１４０の照合データ生成部１４１は、認証データ８１２３、登録テンプレート組８１０３、及び公開鍵８０８に基づいて、照合データ８２４を生成する（ステップＧ５）。
【０１４４】
照合データ生成部１４１は、照合データ８２４と登録生体識別子８０２との組の全てを、補助装置５０に送信する（ステップＧ６）。登録テンプレート組８１０３は、一つであっても複数であってもよい。また、照合データ８２４は、各登録テンプレート組８１０３に対して一つずつ生成してもよい。また、照合データ８２４と登録生体識別子８０２とを組として補助装置５０に送信してもよい。
【０１４５】
次に、補助装置５０の照合データ復号部５３は、照合データ８２４と登録生体識別子８０２との組、及び秘密鍵８０９に基づいて、復号後照合データ８５３を生成する（ステップＧ７）。
【０１４６】
次に、補助装置５０の復号後照合データ検証部５４は、復号後照合データ８５３とパラメータ８０５とに基づいて、検証後照合データ８５４を生成する（ステップＧ８）。
【０１４７】
次に、補助装置５０の適合表生成部５５は、検証後照合データ８５４、パラメータ８０５、及び秘密鍵８０９に基づいて、適合表８５５を生成する（ステップＧ９）。
【０１４８】
次に、適合表生成部５５は、適合表８５５と登録生体識別子８０２との、一つまたは複数の組をサーバ装置１４０に送信する（ステップＧ１０）。
【０１４９】
次に、サーバ装置１４０の適合表検証部４３は、適合表８５５と登録生体識別子８０２との、一つまたは複数の組、及びパラメータ８０５とに基づいて、認証結果８４３を生成し、出力する（ステップＧ１１）。入力の適合表８５５は複数あってもよい。認証結果８４３は、例えば、認証者を受理するか拒否するかを表す値であってもよいし、認証結果８４３に関するスコアであってもよい。例えば、適合表検証部４３は、認証結果８４３を、認証者装置１２０へ送信してもよい。
【０１５０】
［効果の説明］
上述した本実施形態における効果は、第１の実施形態と同様の効果を、１：Ｎ認証においても得ることが可能になる点である。換言すると、その効果は、認証者が自身の認証生体識別子８０４を提示することなく、認証結果８４３を得ることが可能になる点である。ここで、その認証結果８４３は、認証マニューシャ情報８０３が、テンプレート８１３のそれぞれに対応する登録マニューシャ情報８０１のいずれかと一致するか否かについて示す。
【０１５１】
その理由は、以下のような構成を含むからである。即ち、サーバ装置１４０の照合データ生成部１４１が、認証データ８１２３と各登録テンプレート組８１０３とに基づいて、登録テンプレート組８１０３のそれぞれに対応する照合データ８２４を生成するからである。
【０１５２】
［第３の実施形態］
第３の実施形態は、図１に示す認証システム１００の構成において、マニューシャ情報を秘匿するための暗号化に、加法準同型公開鍵暗号を用いる実施形態である。本実施形態では、加法準同型公開鍵暗号としてPaillier暗号を用いる場合について説明する。
【０１５３】
［加法準同型公開鍵暗号の説明］
まず、本実施形態における、加法準同型公開鍵暗号について説明する。公開鍵暗号は、鍵生成、暗号化、復号の３つのアルゴリズムからなる。鍵生成は、セキュリティパラメータを入力として受け取り、公開鍵pkと秘密鍵skとを出力する確率的アルゴリズムである。暗号化は、公開鍵pkとメッセージMとを入力として受け取り、暗号文Cを出力する確率的アルゴリズムである。復号は、秘密鍵skと暗号文Cとを入力として受け取り、復号結果Mを出力する決定的アルゴリズムである。
【０１５４】
以下、鍵生成、暗号化、復号の各アルゴリズムを次のように記載する。
鍵生成：KeyGen(1^κ)→(pk,sk)
暗号化：Enc(pk,m)→c
復号：Dec(sk,c)→m
公開鍵暗号方式が準同型性を有するとは、ある演算(+)及び(*)に対して、以下の式が成立する場合をいう。
Enc(pk,M1(+)M2)=Enc(pk,M1)(*)Enc(pk,M2)
例えば、Paillier暗号は、(+)を加算、(*)を乗算とした加法準同型性を有する公開鍵暗号方式であることが知られている。すなわちPaillier暗号は、
Enc(pk,M1+M2)=Enc(pk,M1)*Enc(pk,M2)を満たす。更にこの性質を応用すると、任意の定数iに対して、
Enc(pk,i*M1)=Enc(pk,M1)^iを計算することができる。このように、暗号化したまま平文の加算や定数倍を行うことができる公開鍵暗号方式を、加法準同型公開鍵暗号と呼ぶ。
【０１５５】
Paillier暗号の各アルゴリズムの動作について説明する。
【０１５６】
鍵生成は、第１に、セキュリティパラメータとして、1^κを受け取る。第２に、鍵生成は、κビットの素数p、qをランダムに選び、n=pqとする。第３に、鍵生成は、k∈Z*_nをランダムに選び、g=1+kn mod n^2とする。第４に、鍵生成は、公開鍵pk=(n,g)、秘密鍵sk=(n,g,p,q)を出力する。
【０１５７】
暗号化は、第１に、公開鍵pk=(n,g),メッセージmを入力として受け取る。第２に、暗号化は、r∈Z*_{n^2}をランダムに選ぶ。第３に、暗号化は、暗号文
c=g^m・r^n mod n^2を出力する。
【０１５８】
復号は、第１に、秘密鍵sk=(n,g,p,q),暗号文cを入力として受け取る。第２に、復号は、λを(p-1)と(q-1)の最小公倍数とする。第３に、復号は、復号結果としてm'={(c^λ mod n^2 -1)/n}/{(g^λ mod n^2 -1)/n} mod nを出力する。
【０１５９】
Paillier暗号を用いると暗号化したまま平文の加算や定数倍を行うことができることが、次で確認できる。
【０１６０】
加算の場合、公開鍵pk=(n,g)と２つの暗号文c1=Enc(pk,m1)=g^{m1}・r1^n mod n^2と、c2=Enc(pk,m2)=g^{m2}・r2^n mod n^2とに対し、
c1・c2=g^{m1+m2}・(r1・r2)^n mod n^2=Enc(pk,m1+m2)が成り立つ。また、定数倍の場合、公開鍵pk=(n,g),任意の定数i、及び暗号文c= Enc(pk,m)=g^m・r^n mod n^2に対し、c^i= g^(im)・r^(in) mod n^2=Enc(pk,im)が成り立つ。
【０１６１】
［構成の説明］
本実施形態の構成は、図１に示す第１の実施形態の構成と同様である。
【０１６２】
［動作の説明］
次に、図面を参照して、本実施形態の動作について詳細に説明する。
【０１６３】
［準備フェーズ］
本実施形態の準備フェーズにおける、動作の一例を示すフローチャートは、第１の実施形態と同様に、図９に示すフローチャートである。本実施形態は、図９に示す様態に限定されない。
【０１６４】
本実施形態は、第１の実施形態に比べて、以下の各ステップの具体的な動作が異なる。
【０１６５】
本実施形態のステップＡ１において、鍵生成部５１は、セキュリティパラメータ８０６に含まれるセキュリティパラメータのκに基づいて、加法準同型公開鍵暗号の公開鍵８０８及び秘密鍵８０９を生成する。
【０１６６】
鍵生成部５１は、例えば加法準同型暗号としてPaillier暗号を用いた場合、公開鍵８０８及び秘密鍵８０９を次のように生成する。
【０１６７】
第１に、鍵生成部５１は、κビットの素数p、qをランダムに選び、n=pqとする。
【０１６８】
第２に、鍵生成部５１は、k∈Z*_nをランダムに選び、g=1+kn mod n^2とする。
【０１６９】
第３に、鍵生成部５１は、公開鍵８０８（pkとも記載する）をpk=(n,g)、秘密鍵８０９（skとも記載する）をsk=(n,g,p,q)とする。
【０１７０】
［登録フェーズ］
本実施形態の登録フェーズにおける、動作の一例を示すフローチャートは、第１の実施形態と同様に、図１０に示すフローチャートである。本実施形態は、図１０に示す様態に限定されない。
【０１７１】
本実施形態は、第１の実施形態に比べて、以下の各ステップの具体的な動作が異なる。
【０１７２】
本実施形態のステップＢ１において、第１に、登録比較表生成部１１は、非特許文献１に記載の比較表生成アルゴリズムに、登録マニューシャ情報８０１とパラメータ８０５とを入力する。第２に、登録比較表生成部１１は、マニューシャ対の相関関係を含む登録用比較表８１１を生成する。ここで、登録用比較表８１１の行数をm行とし、各k行目（k=1,…,m）に格納されている情報を(d1[k],βs1[k],βl1[k],i1[k],j1[k],θ1[k])と表す。
【０１７３】
本実施形態のステップＢ２において、比較表秘匿化準備部１２は、秘匿用比較表８１２を生成する。具体的には、比較表秘匿化準備部１２は、登録用比較表８１１を秘匿用比較表８１２とする。
【０１７４】
本実施形態のステップＢ３において、比較表秘匿化部１３は、テンプレート８１３を生成する。具体的には、比較表秘匿化部１３は、pk（公開鍵８０８）を用いて秘匿用比較表８１２の各項目を暗号化したものをテンプレート８１３とする。すなわち、テンプレート８１３の各k行目（k=1,…,m）に格納される情報は、
(Enc(pk,d1[k]),
Enc(pk,βs1[k]),
Enc(pk,βl1[k]),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,θ1[k]))
である。テンプレート８１３に含まれる各項目は、暗号文である。このため、補助装置５０の秘密鍵記憶部５２が記憶する秘密鍵８０９がなければ、登録マニューシャ情報８０１を復元することは、できない。
【０１７５】
Paillier暗号を用いた場合、公開鍵８０８はpk=(n,g)であり、テンプレート８１３の各k行目（k=1,…,m）に格納される情報は、
Enc(pk,d1[k])=g^{d1[k]}・rd1[k]^n mod n^2、
Enc(pk,βs1[k])=g^{βs1[k]}・rβs1[k]^n mod n^2、
Enc(pk,βl1[k])=g^{βl1[k]}・rβl1[k]^n mod n^2、
Enc(pk,i1[k])=g^{i1[k]}・ri1[k]^n mod n^2、
Enc(pk,j1[k])=g^{j1[k]}・rj1[k]^n mod n^2、
Enc(pk,θ1[k])=g^{θ1[k]}・rθ1[k]^n mod n^2、
と計算される。ただし、rd1[k]、rβs1[k]、rβl1[k]、ri1[k]、rj1[k]及びrθ1[k]は、Z*_{n^2}から選ばれた乱数である。
【０１７６】
［認証フェーズ］
本実施形態の認証フェーズにおける、動作の一例を示すフローチャートは、第１の実施形態と同様に、図１１に示すフローチャートである。本実施形態は、図１１に示す様態に限定されない。
【０１７７】
本実施形態は、第１の実施形態に比べて、以下の各ステップの具体的な動作が異なる。
【０１７８】
本実施形態のステップＣ３において、第１に、認証比較表生成部２２は、非特許文献１に記載の比較表生成アルゴリズムに、認証マニューシャ情報８０３とパラメータ８０５を入力する。第２に、認証比較表生成部２２は、マニューシャ対の相関関係を含む認証用比較表８２２を生成する。ここで、認証用比較表８２２の行数をn行とし、各l行目（l=1,…,n）に格納されている情報を
(d2[l],βs2[l],βl2[l],i2[l],j2[l],θ2[l])と表す。
【０１７９】
本実施形態のステップＣ５において、照合データ生成部２４は、以下のように照合データ８２４を生成する。
【０１８０】
第１に、照合データ生成部２４は、認証者用テンプレート８３２の各k行目（k=1,…,m）に格納されている情報、認証用比較表８２２の各l行目（l=1,…,n）に格納されている情報、及びpk（公開鍵８０８）に基づいて、公開鍵暗号方式の準同型性を利用し、
Enc(pk,d1[k]-d2[l])、
Enc(pk,βs1[k]-βs2[l])、
Enc(pk,βl1[k]-βl2[l])、
Enc(pk,θ1[k]-θ2[l])、
を計算する。各項目の値は、登録用比較表８１１のk行目と認証用比較表８２２のl行目に格納されているマニューシャ対の距離の差、２つのなす角の差、及び回転角の差の暗号文である。ここで、認証者用テンプレート８３２の各k行目（k=1,…,m）に格納されている情報は、以下の通りである。
(Enc(pk,d1[k]),
Enc(pk,βs1[k]),
Enc(pk,βl1[k]),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,θ1[k]))
認証用比較表８２２の各l行目（l=1,…,n）に格納されている情報は、
(d2[l],βs2[l],βl2[l],i2[l],j2[l],θ2[l])である。
【０１８１】
また、照合データ生成部２４は、Enc(pk,i2[l])とEnc(pk,j2[l])とを計算し、
(Enc(pk,d1[k]-d2[l]),
Enc(pk,βs1[k]-βs2[l]),
Enc(pk,βl1[k]-βl2[l]),
Enc(pk,i1[k]),Enc(pk,j1[k]),
Enc(pk,i2[l]),Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
を照合データ８２４のランダムな行に格納する。すなわち、照合データ８２４の各行には８個の項目が含まれる。
【０１８２】
Paillier暗号を用いた場合、公開鍵８０８はpk=(n,g)であり、照合データ８２４の各項目の値は、以下のように計算される。
Enc(pk,d1[k]-d2[l])=Enc(pk,d1[k])・g^{-d2[l]} mod n^2、
Enc(pk,βs1[k]-βs2[l])=Enc(pk,βs1[k])・g^{-βs2[l]} mod n^2、
Enc(pk,βl1[k]-βl2[l])=Enc(pk,βl1[k])・g^{-βl2[l]} mod n^2、
Enc(pk,i2[l])=g^{i2kl]}・ri2[l]^n mod n^2、
Enc(pk,j2[l])=g^{j2[l]}・rj2[l]^n mod n^2、
Enc(pk,θ1[k]-θ2[l])=Enc(pk,θ1[k])・g^{-θ2[l]} mod n^2
ただし、ri2[l]及びrj2[l]は、Z*_{n^2}から選ばれた乱数である。
【０１８３】
本実施形態のステップＣ８において、照合データ復号部５３は、以下のように復号後照合データ８５３を生成する。
【０１８４】
照合データ８２４の各行にはあるk（k=1,…,m）及びl（l=1,…,n）について
(Enc(pk,d1[k]-d2[l]),
Enc(pk,βs1[k]-βs2[l]),
Enc(pk,βl1[k]-βl2[l]),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,i2[l]),
Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
が格納されている。
【０１８５】
第１に、照合データ復号部５３は、このうちの第１、２、３の項目を、sk（秘密鍵８０９）によって、以下のように復号する。
Dec(sk,Enc(pk,d1[k]-d2[l]))=d1[k]-d2[l]
Dec(sk,Enc(pk,βs1[k]-βs2[l]))=βs1[k]-βs2[l]
Dec(sk,Enc(pk,βl1[k]-βl2[l]))=βl1[k]-βl2[l]
第２に、照合データ復号部５３は、それらの第１、２、３の項目のそれぞれを、それら項目を復号した値のそれぞれで置き換えて得られる、以下の項目を各行に持つ表を復号後照合データ８５３とする。
(d1[k]-d2[l],
βs1[k]-βs2[l],
βl1[k]-βl2[l],
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,i2[l]),
Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
例えば、Paillier暗号を用いた場合、秘密鍵８０９はsk=(n,g,p,q)である。この場合、照合データ復号部５３は、第１、２、３の項目のそれぞれの値を、以下の通りに計算する。
Dec(sk,Enc(pk,d1[k]-d2[l]))
={(Enc(pk,d1[k]-d2[l])^λ mod n^2 -1)/n}/{(g^λ mod n^2 -1)/n} mod n
= d1[k]-d2[l]、
Dec(sk,Enc(pk,βs1[k]-βs2[l]))
={(Enc(pk,βs1[k]-βs2[l])^λ mod n^2 -1)/n}/{(g^λ mod n^2 -1)/n} mod n
=βs1[k]-βs2[l]、
Dec(sk,Enc(pk,βl1[k]-βl2[l]))
={(Enc(pk,βl1[k]-βl2[l])^λ mod n^2 -1)/n}/{(g^λ mod n^2 -1)/n} mod n
=βl1[k]-βl2[l]
ただし、λは(p-1)と(q-1)の最小公倍数である。
【０１８６】
本実施形態のステップＣ９において、復号後照合データ検証部５４は、第１に、復号後照合データ８５３の各行である、
(d1[k]-d2[l],
βs1[k]-βs2[l],
βl1[k]-βl2[l],
Enc(pk,i1[k]),Enc(pk,j1[k]),
Enc(pk,i2[l]),Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
について、その各行の第１、２、３の項目のそれぞれが、以下の（１）から（３）の条件を満たすか否かを確認する。
（１）d1[k]-d2[l]≦Δd
（２）βs1[k]-βs2[l]≦Δβ
（３）βl1[k]-βl2[l]≦Δβ
ここで、Δd及びΔβはパラメータ８０５に含まれる、マニューシャ対の距離及び角度差に関する閾値である。
【０１８７】
第２に、復号後照合データ検証部５４は、上述の（１）から（３）の３つの条件が全て満たされる行の、以下の第４、５、６、７、８の項目を検証後照合データ８５４のランダムな行に格納する。すなわち、検証後照合データ８５４の各行には５個の項目が含まれる。
(Enc(pk,i1[k]),Enc(pk,j1[k]),
Enc(pk,i2[l]),Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
本実施形態のステップＣ１０において、適合表生成部５５は、以下のように適合表８５５生成する。
【０１８８】
検証後照合データ８５４の各行には、あるk（k=1,…,m）及びl（l=1,…,n）について、以下の項目が格納されている。
(Enc(pk,i1[k]),Enc(pk,j1[k]),
Enc(pk,i2[l]),Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
適合表生成部５５が生成する適合表８５５は、この各項目をsk（秘密鍵８０９）によって復号した値
Dec(sk,Enc(pk,i1[k]))=i1[k]、
Dec(sk,Enc(pk,j1[k]))=j1[k]、
Dec(sk,Enc(pk,i2[l]))=i2[l]、
Dec(sk,Enc(pk,j2[l]))=j2[l]、
Dec(sk,Enc(pk,θ1[k]-θ2[l]))=θ1[k]-θ2[l]、
でそれぞれ置き換えて得られる(i1[k],j1[k],i2[k],j2[k],θ1[k]-θ2[k])を、各行に含む。パラメータ８０５により、適合表８５５が、検証後照合データ８５４のすべての行についての情報を含む場合や、パラメータ８０５に従って選ばれた検証後照合データ８５４の一部の行についての情報のみを含む場合がある。これは非特許文献１に記載の適合表生成アルゴリズムの出力である適合表８５５である。
【０１８９】
Paillier暗号を用いた場合、秘密鍵８０９はsk=(n,g,p,q)であり、各項目の復号は、以下のように計算される。
Dec(sk,Enc(pk,i1[k]))
={(Enc(pk,i1[k])^λ mod n^2 -1)/n}/{(g^λ mod n^2 -1)/n} mod n
= i1[k]、
Dec(sk,Enc(pk,j1[k]))
={(Enc(pk,j1[k])^λ mod n^2 -1)/n}/{(g^λ mod n^2 -1)/n} mod n
=j1[k]、
Dec(sk,Enc(pk,i2[l]))
={(Enc(pk,i2[l])^λ mod n^2 -1)/n}/{(g^λ mod n^2 -1)/n} mod n
=i2[l]、
Dec(sk,Enc(pk,j2[l]))
={(Enc(pk,j2[l])^λ mod n^2 -1)/n}/{(g^λ mod n^2 -1)/n} mod n
=j2[l]、
Dec(sk,Enc(pk,θ1[k]-θ2[l]))
={(Enc(pk,θ1[k]-θ2[l])^λ mod n^2 -1)/n}/{(g^λ mod n^2 -1)/n} mod n
=θ1[k]-θ2[l]
本実施形態のステップＣ１２において、サーバ装置４０の適合表検証部４３は、補助装置５０から受信した適合表８５５とパラメータ８０５とを、非特許文献１に記載の適合表検証アルゴリズムに入力し、スコアを生成する。適合表検証部４３は、そのスコアに基づいて認証結果８４３を出力する。
【０１９０】
［効果の説明］
上述した本実施形態における効果は、第１の実施形態と同じく、生体情報の位置と回転との補正が不要で、かつ、クライアントが生体情報以外の秘密情報を持つ必要がなく、かつ、生体情報が外部に漏洩することのない、生体認証を実現することが可能になる点である。
【０１９１】
その理由は、以下のような構成を含むからである。即ち、第１に鍵生成部５１が加法準同型公開鍵暗号としてPaillier暗号の公開鍵８０８及び秘密鍵８０９を生成する。第２に、登録者装置１０、認証者装置２０及びサーバ装置４０がその公開鍵８０８に基づいて処理を実行する。第３に、補助装置５０がその公開鍵８０８及び秘密鍵８０９に基づいて処理を実行する。
【０１９２】
［第４の実施形態］
第４の実施形態は、図１に示す認証システム１００の構成において、マニューシャ情報の秘匿性をより高めるために、private set intersectionを用いる実施形態である。本実施形態では、private set intersectionで利用する加法準同型公開鍵暗号としてPaillier暗号を用いる場合について説明する。尚、本実施形態における加法準同型公開鍵暗号は、前述の第３の実施形態における加法準同型公開鍵暗号と同様である。
【０１９３】
［private set intersectionの説明］
次に、本実施形態における、private set intersectionについて説明する。
【０１９４】
private set intersectionとは、２人のエンティティであるアリスとボブの間で行われる暗号プロトコルである。アリスはあるデータaを持ち、ボブはデータの集合Bを持つものと仮定する。この時、private set intersectionを用いるとアリスの持つデータaをボブに秘匿したまま、データaが集合Bに含まれるかどうかを確認できる。加法準同型公開鍵暗号を用いたprivate set intersectionの実現方法を説明する。
【０１９５】
簡単のため、集合B={b1,b2,b3}としてprivate set intersectionを説明する。また、ボブは加法準同型公開鍵暗号の公開鍵pkを公開し、対応する秘密鍵skを保持しているものとする。ここでは、加法準同型公開鍵暗号として(+)を加算、(*)を乗算とした加法準同型性を有する公開鍵暗号方式を用いる場合について説明する。
【０１９６】
第１に、ボブは次の方法により、集合Bを暗号化する。まず、ボブは、x=b1、b2、b3の時、値が0となり、それ以外の時、値が0以外となる多項式F(x)を生成する。例えば、その多項式F(x)は、F(x)=(x-b1)(x-b2)(x-b3)であってよい。このような多項式は、ラグランジェ補間を利用して容易に生成することができる。ここで、F(x)の係数をα[0],α[1],…,α[n]とする。すなわち、F(x)=α[n]・x^n+α[n-1]・x^{n-1}+…+α[1]・x+α[0]である。次に、ボブは、加法準同型公開鍵暗号の公開鍵pkを使用してα[0],α[1],…,α[n]をそれぞれ暗号化し、暗号文C[0],C[1],…,C[n]を得る。ここで、暗号文の組(C[0],C[1],…,C[n])を集合Bの暗号文と呼ぶ。ボブは、集合Bの暗号文をアリスに送付する。
【０１９７】
第２に、アリスは、a^{n},a^{n-1},…,a^{0}を計算する。また、ランダムにrを選択する。これらとボブから受け取った集合Bの暗号文から、加法準同型性を利用して、r・F(a)の暗号文Cを計算する。(+)を加算、(*)を乗算とした加法準同型性を有する公開鍵暗号を用いる場合、C=(C[n]^{a^n}*C[n-1]^{a^{n-1}}*…*C[0]^{a^{0}})^rと計算される。アリスは、Cをボブに送付する。
第３に、ボブは、受け取ったCを復号する。ボブは、復号結果が0の場合、アリスは集合Bに含まれるデータを有すると判断し、復号結果が0以外の場合、アリスは集合Bに含まれるデータを持たないと判断する。
【０１９８】
多項式F(x)はx=b1,b2,b3の時に値が0となり、それ以外の時に値が0以外となるため、ボブは、r・F(a)=0かどうかを調べることによってデータaが集合Bに含まれるかどうかを確認できる。
【０１９９】
［構成の説明］
本実施形態の構成は、図１に示す第３の実施形態の構成と同様である。
【０２００】
［動作の説明］
本実施形態の動作は、第３の実施形態の動作と比べて以下の点が異なる。本実施形態の登録フェーズ及び認証フェーズにおける動作は、登録用比較表８１１の各項目を暗号化する代わりに、各項目とその近傍値を集合とみなし、private set intersectionを用いて暗号化する。
【０２０１】
次に、図面を参照して、本実施形態の動作について詳細に説明する。
【０２０２】
［準備フェーズ］
本実施形態の準備フェーズにおける、動作の一例を示すフローチャートは、第３の実施形態と同様に、図９に示すフローチャートである。本実施形態は、図９に示す様態に限定されない。本実施形態の準備フェーズにおける各ステップの具体的な動作は、第３の実施形態の各ステップの具体的な動作と同様である。
【０２０３】
［登録フェーズ］
本実施形態の登録フェーズにおける、動作の一例を示すフローチャートは、第３の実施形態と同様に、図１０に示すフローチャートである。本実施形態は、図１０に示す様態に限定されない。
【０２０４】
本実施形態は、第３の実施形態に比べて、以下の各ステップの具体的な動作が異なる。
【０２０５】
本実施形態のステップＢ２において、比較表秘匿化準備部１２は、登録用比較表８１１及びパラメータ８０５に基づいて、秘匿用比較表８１２を生成する。そのパラメータ８０５は、マニューシャ対の距離に関する閾値であるΔd、及びマニューシャ対の角度差に関する閾値であるΔβを含む。
【０２０６】
比較表秘匿化準備部１２は、登録用比較表８１１の各k行目（k=1,…,m）に格納されている(d1[k],βs1[k],βl1[k],i1[k],j1[k],θ1[k])のうち、第１、２、３の項目について、以下に示すdf次の多項式、dg次の多項式及びdh次の多項式をそれぞれランダムに生成する。
（１）df次の多項式F[k](x)は、x=d1[k]-Δd、…,d1[k],…,d1[k]+Δdの時にF[k](x)=0となり、それ以外の時にF[k](x)が0以外となる。
（２）dg次の多項式G[k](x)は、x=βs1[k]-Δβ,…,βs1[k],…,βs1[k]+Δβの時にG[k](x)=0となり、それ以外の時にG[k](x)が0以外となる。
（３）dh次の多項式H[k](x)は、x=βl1[k]-Δβ,…,βl1[k],…,βl1[k]+Δβの時にH[k](x)=0となり、それ以外の時にH[k](x)が0以外となる。
【０２０７】
ここで、（１）乃至（3）の多項式におけるｘのそれぞれは、前述の第１の相関関係の値からその値に対応する閾値を減算した値から、その第１の相関関係の値にその閾値を加算した値までの間の値である。換言すると、ｘは、前述の第１の相関関係との差がパラメータ８０５に含まれる閾値以下の相関関係であり、第３の相関関係とも呼ばれる。
【０２０８】
例えば、F[k](x)=(x-d1[k]+Δd)…(x-d1[k])…(x-d1[k]-Δd)は、上記の条件を満たす2Δd+1次の多項式である。３つの多項式F[k](x)、G[k](x)、及びH[k](x)を展開したものをそれぞれ以下のように表す。
F[k](x)=f[k][df]・x^{df}+f[k][df-1]・x^{df-1}+…+f[k][1]・x+f[k][0]、
G[k](x)=g[k][dg]・x^{dg}+g[k][dg-1]・x^{dg-1}+…+g[k][1]・x+g[k][0]、
H[k](x)=h[k][dh]・x^{dh}+h[k][dh-1]・x^{dh-1}+…+h[k][1]・x+h[k][0]
比較表秘匿化準備部１２は、登録用比較表８１１に格納されている
(d1[k],βs1[k],βl1[k],i1[k],j1[k],θ1[k])のうち、第１、２、３の項目を、対応する多項式の係数の組である
(f[k][df],f[k][df-1],…,f[k][1],f[k][0])、
(g[k][dg],g[k][dg-1],…,g[k][1],g[k][0])、
(h[k][dh],h[k][dh-1],…,h[k][1],h[k][0])
でそれぞれ置き換えたものを秘匿用比較表８１２とする。つまり、秘匿用比較表８１２のk行目は、以下の通りである。
((f[k][df],f[k][df-1],…,f[k][1],f[k][0]),
(g[k][dg],g[k][dg-1],…,g[k][1],g[k][0]),
(h[k][dh],h[k][dh-1],…,h[k][1],h[k][0]),
i1[k],j1[k],θ1[k])
本実施形態のステップＢ３において、比較表秘匿化部１３は、pk（公開鍵８０８）を用いて秘匿用比較表８１２の各項目を暗号化したものをテンプレート８１３とする。すなわち、テンプレート８１３の各k行目（k=1,…,m）に格納される情報は
((Enc(pk,f[k][df]),…,Enc(pk,f[k][0])),
(Enc(pk,g[k][dg]),…,Enc(pk,g[k][0])),
(Enc(pk,h[k][dh]),…,Enc(pk,h[k][0])),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,θ1[k]))
である。換言すると、テンプレート８１３の各k行目に格納される情報は、第３の相関関係に対応する暗号文である。テンプレート８１３の各項目は暗号文であるため、補助装置５０の秘密鍵記憶部５２が記憶する秘密鍵８０９がなければ、登録マニューシャ情報８０１を復元できない。
【０２０９】
Paillier暗号を用いた場合、公開鍵８０８はpk=(n,g)であり、テンプレート８１３の各k行目（k=1,…,m）に格納される情報は、
Enc(pk,f[k][df])=g^{f[k][df]}・rf[k][df]^n mod n^2、
…、
Enc(pk,f[k][0])=g^{f[k][0]}・rf[k][0]^n mod n^2、
Enc(pk,g[k][dg])=g^{g[k][dg]}・rg[k][dg]^n mod n^2、
…、
Enc(pk,g[k][0]))=g^{g[k][0])}・rg[k][0]^n mod n^2、
Enc(pk,h[k][dh])=g^{h[k][dh]}・rh[k][dh]^n mod n^2、
…、
Enc(pk,h[k][0])=g^{h[k][0]}・rh[k][0]^n mod n^2、
Enc(pk,i1[k])=g^{i1[k]}・ri1[k]^n mod n^2、
Enc(pk,j1[k])=g^{j1[k]}・rj1[k]^n mod n^2、
Enc(pk,θ1[k])=g^{θ1[k]}・rθ1[k]^n mod n^2、
と計算される。ただし、rf[k][df]、…、rf[k][0]、rg[k][dg]、…、rg[k][0]、rh[k][dh]、…、rh[k][0]、ri1[k]、rj1[k]、rθ1[k]は、Z*_{n^2}から選ばれた乱数である。
【０２１０】
［認証フェーズ］
本実施形態の認証フェーズにおける、動作の一例を示すフローチャートは、第３の実施形態と同様に、図１１に示すフローチャートである。本実施形態は、図１１に示す様態に限定されない。
【０２１１】
本実施形態は、第３の実施形態に比べて、以下の各ステップの具体的な動作が異なる。
【０２１２】
本実施形態のステップＣ５において、照合データ生成部２４は、以下のように照合データ８２４を生成する。
【０２１３】
第１に、照合データ生成部２４は、認証者用テンプレート８３２の各k行目（k=1,…,m）に格納されている情報、認証用比較表８２２の各l行目（l=1,…,n）に格納されている情報、及びpk（公開鍵８０８）に基づいて、公開鍵暗号方式の準同型性を利用して、
Enc(pk,F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l]))、
Enc(pk,θ1[k]-θ2[l]))
を計算する。尚、認証者用テンプレート８３２の各k行目（k=1,…,m）に格納されている情報は、以下の通りである。
((Enc(pk,f[k][df]),…,Enc(pk,f[k][0])),
(Enc(pk,g[k][dg]),…,Enc(pk,g[k][0])),
(Enc(pk,h[k][dh]),…,Enc(pk,h[k][0])),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,θ1[k]))
また、認証用比較表８２２の各l行目（l=1,…,n）に格納されている情報は、
(d2[l],βs2[l],βl2[l],i2[l],j2[l],θ2[l])である。
【０２１４】
また、照合データ生成部２４は、Enc(pk,i2[l])とEnc(pk,j2[l])とを計算する。
【０２１５】
ただし、F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l])は、多項式F[k](x)、G[k](x)及びH[k](x)を、認証マニューシャ情報８０３に含まれるマニューシャ対の相関関係の情報を用いて評価した値である。多項式F[k](x)、G[k](x)及びH[k](x)は、ステップＢ２において登録マニューシャ情報８０１に含まれるマニューシャ対の相関関係の情報から生成された多項式（１）−（３）である。
二つのマニューシャ対が一致するとみなされる場合には、３つの多項式の評価値
F[k](d2[l]),G[k](βs2[l]),H[k](βl2[l])が全て0となる。
【０２１６】
照合データ生成部２４は、
(Enc(pk,F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l])),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,i2[l]),
Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
を照合データ８２４のランダムな行に格納する。すなわち、照合データ８２４の各行には６個の項目が含まれる。
【０２１７】
Paillier暗号を用いた場合、公開鍵８０８はpk=(n,g)であり、各項目の値は、以下のように計算される。
Enc(pk,F[k](d2[l]))
={Enc(pk,f[k][df])}^{d2[l]^{df}}・{Enc(pk,f[k][df-1])}^{d2[l]^{df-1}}・…・{Enc(pk,f[k][1])}^{d2[l]}・{Enc(pk,f[k][0])}、
Enc(pk,G[k](βs2[l]))
={Enc(pk,g[k][dg])}^{βs2[l]^{dg}}・{Enc(pk,g[k][dg-1])}^{βs2[l]^{dg-1}}・…・{Enc(pk,g[k][1])}^{βs2[l]}・{Enc(pk,g[k][0])}、
Enc(pk,H[k](βl2[l]))
={Enc(pk,h[k][dh])}^{βl2[l]^{dh}}・{Enc(pk,h[k][dh-1])}^{βl2[l]^{dh-1}}・…・{Enc(pk,h[k][1])}^{βl2[l]}・{Enc(pk,h[k][0])}、
Enc(pk,F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l]))
=Enc(pk,F[k](d2[l]))・Enc(pk,G[k](βs2[l]))・Enc(pk,H[k](βl2[l]))、
Enc(pk,i2[l])=g^{i2[l]}・ri2[l]^n mod n^2、
Enc(pk,j2[l])=g^{j2[l]}・rj2[l]^n mod n^2、
Enc(pk,θ1[k]-θ2[l]))=Enc(pk,θ1[k])・g^{-θ2[l]} mod n^2
ただし、ri2[l]及びrj2[l]は、Z*_{n^2}から選ばれた乱数である。
【０２１８】
本実施形態のステップＣ８において、照合データ復号部５３は、以下のように復号後照合データ８５３を生成する。
【０２１９】
照合データ８２４の各行にはあるk（k=1,…,m）及びl（l=1,…,n）について
(Enc(pk,F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l])),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,i2[l]),
Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
が格納されている。
【０２２０】
第１に、照合データ復号部５３は、このうち第１の項目を、sk（秘密鍵８０９）によって復号した値である、
Dec(sk,Enc(pk,F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l])))
= F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l])
で置き換えて得られる、
(F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l]),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,i2[l]),
Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
を各行に持つ表を復号後照合データ８５３とする。すなわち、復号後照合データ８５３の各行には６個の項目が含まれる。
【０２２１】
また、Paillier暗号を用いた場合、秘密鍵８０９はsk=(n,g,p,q)である。この場合、照合データ復号部５３は、第１の項目の復号された値を、以下の通り計算する。
Dec(sk,Enc(pk,F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l])))
=[(Enc(pk,F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l]))^λ mod n^2 -1)/n]/[(g^λ mod n^2 -1)/n] mod n
=F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l]))
ただし、λは(p-1)と(q-1)の最小公倍数である。
【０２２２】
本実施形態のステップＣ９において、復号後照合データ検証部５４は、以下のように、検証後照合データ８５４を生成する。
【０２２３】
第１に、復号後照合データ検証部５４は、復号後照合データ８５３の以下の各行について、その各行の第１の項目が「０」と一致するかどうかを確認する。
(F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l]),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,i2[l]),
Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
第２に、復号後照合データ検証部５４は、第１の項目が「０」と一致する行の、第１の項目以外の以下の各項目を検証後照合データ８５４のランダムな行に格納する。すなわち、検証後照合データ８５４の各行には５個の項目が含まれる。
(Enc(pk,i1[k]),Enc(pk,j1[k]),
Enc(pk,i2[l]),Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))。
【０２２４】
本実施形態のステップＣ１０において、補助装置５０の適合表生成部５５は、検証後照合データ８５４、パラメータ８０５、及び秘密鍵８０９に基づいて、適合表８５５を生成する。
【０２２５】
具体的には、ステップＣ１０において、適合表生成部５５は、以下のように適合表８５５を生成する。
【０２２６】
検証後照合データ８５４の各行にはあるk（k=1,…,m）及びl（l=1,…,n）について、
(Enc(pk,i1[k]),Enc(pk,j1[k]),
Enc(pk,i2[l]),Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
が格納されている。
【０２２７】
適合表生成部５５が生成する適合表８５５は、この各項目をsk（秘密鍵８０９）によって復号した値のそれぞれで置き換えて得られる、(i1[k],j1[k],i2[k],j2[k],θ1[k]-θ2[k])を各行に含む。パラメータ８０５により、適合表８５５が、検証後照合データ８５４のすべての行についての情報を含む場合や、パラメータ８０５に従って選ばれた検証後照合データ８５４の一部の行についての情報のみを含む場合がある。これは非特許文献１に記載の適合表生成アルゴリズムの出力である適合表８５５である。その復号した値のそれぞれは、以下の通りである。
Dec(sk,Enc(pk,i1[k]))=i1[k]、
Dec(sk,Enc(pk,j1[k]))=j1[k]、
Dec(sk,Enc(pk,i2[l]))=i2[l]、
Dec(sk,Enc(pk,j2[l]))=j2[l]、
Dec(sk,Enc(pk,θ1[k]-θ2[l]))=θ1[k]-θ2[l]
Paillier暗号を用いた場合、秘密鍵８０９はsk=(n,g,p,q)である。この場合、適合表生成部５５は、各項目の値を以下のように計算する。
Dec(sk,Enc(pk,i1[k]))
={(Enc(pk,i1[k])^λ mod n^2 -1)/n}/{(g^λ mod n^2 -1)/n} mod n
= i1[k]、
Dec(sk,Enc(pk,j1[k]))
={(Enc(pk,j1[k])^λ mod n^2 -1)/n}/{(g^λ mod n^2 -1)/n} mod n
=j1[k]、
Dec(sk,Enc(pk,i2[l]))
={(Enc(pk,i2[l])^λ mod n^2 -1)/n}/{(g^λ mod n^2 -1)/n} mod n
=i2[l]、
Dec(sk,Enc(pk,j2[l]))
={(Enc(pk,j2[l])^λ mod n^2 -1)/n}/{(g^λ mod n^2 -1)/n} mod n
=j2[l]、
Dec(sk,Enc(pk,θ1[k]-θ2[l]))
={(Enc(pk,θ1[k]-θ2[l])^λ mod n^2 -1)/n}/{(g^λ mod n^2 -1)/n} mod n
=θ1[k]-θ2[l]
本実施形態のステップＣ１２において、サーバ装置４０の適合表検証部４３は、補助装置５０から受信した適合表８５５とパラメータ８０５とを、非特許文献１に記載の適合表検証アルゴリズムに入力し、スコアを生成する。適合表検証部４３は、そのスコアに基づいて、認証結果８４３を出力する。
【０２２８】
［効果の説明］
本実施形態の効果は、第１の実施形態の効果に加えて、補助装置５０が取得可能な情報をより少なくすることを可能にする点である。
【０２２９】
その理由は、以下の構成を含むからである。即ち、第１に鍵生成部５１が加法準同型公開鍵暗号としてPaillier暗号の公開鍵８０８及び秘密鍵８０９を生成する。
即ち、第１に登録者装置１０、認証者装置２０、サーバ装置４０及び補助装置５０がprivate set intersectionに対応するように処理を実行するからである。換言すると、補助装置５０は、登録マニューシャ情報８０１と認証マニューシャ情報８０３とが近いか否かを、秘密鍵８０９を用いて復号した結果が０（近い）になるか乱数（遠い）になるかにより確認する。
【０２３０】
［第５の実施形態］
第５の実施形態は、図１２に示す生体認証システム２００の構成において、マニューシャ情報を秘匿するための暗号化に、加法準同型公開鍵暗号を用いる実施形態である。本実施形態では、加法準同型公開鍵暗号としてPaillier暗号を用いる場合について説明する。尚、本実施形態における加法準同型公開鍵暗号は、前述の第３の実施形態における加法準同型公開鍵暗号と同様である。
【０２３１】
［構成の説明］
本実施形態の構成は、図１２に示す第２の実施形態の構成と同様である。
【０２３２】
［動作の説明］
次に、図面を参照して、本実施形態の動作について詳細に説明する。
【０２３３】
［準備フェーズ］
本実施形態の準備フェーズにおける、動作の一例を示すフローチャートは、第２の実施形態と同様に、図９に示すフローチャートである。本実施形態は、図９に示す様態に限定されない。
【０２３４】
本実施形態は、第２の実施形態に比べて、以下の各ステップの具体的な動作が異なる。
【０２３５】
本実施形態のステップＡ１において、鍵生成部５１は、セキュリティパラメータ８０６に含まれるセキュリティパラメータのκを用いて、加法準同型公開鍵暗号の公開鍵８０８、秘密鍵８０９を生成する。
【０２３６】
Paillier暗号を用いる場合、鍵生成部５１は、ステップＡ１において、次のように公開鍵８０８及び秘密鍵８０９を生成する。
【０２３７】
鍵生成部５１は、κビットの素数p、qをランダムに選び、n=pqとする。
次に、鍵生成部５１は、k∈Z*_nをランダムに選び、g=1+kn mod n^2とする。
次に、鍵生成部５１は、公開鍵８０８をpk=(n,g)、秘密鍵８０９をsk=(n,g,p,q)とする。
【０２３８】
［登録フェーズ］
本実施形態の登録フェーズにおける、動作の一例を示すフローチャートは、第２の実施形態と同様に、図１０に示すフローチャートである。本実施形態は、図１０に示す様態に限定されない。
【０２３９】
本実施形態は、第２の実施形態に比べて、以下の各ステップの具体的な動作が異なる。
【０２４０】
本実施形態のステップＢ１において、登録比較表生成部１１は、登録マニューシャ情報８０１とパラメータ８０５とを、非特許文献１に記載の比較表生成アルゴリズムに入力し、マニューシャ対の相関関係を表す登録用比較表８１１を生成する。ここで、登録用比較表８１１の行数をm行とし、各k行目（k=1,…,m）に格納されている情報を(d1[k],βs1[k],βl1[k],i1[k],j1[k],θ1[k])と表す。
【０２４１】
本実施形態のステップＢ２において、比較表秘匿化準備部１２は、登録用比較表８１１とパラメータ８０５とに基づいて、登録用比較表８１１を秘匿用比較表８１２とする。
【０２４２】
本実施形態のステップＢ３において、登録者装置１０の比較表秘匿化部１３は、pk（公開鍵８０８）を用いて登録用比較表８１１の各項目を暗号化したテンプレート８１３を生成する。テンプレート８１３の各k行目（k=1,…,m）に格納される情報は、例えば、以下の通りである。
(Enc(pk,d1[k]),
Enc(pk,βs1[k]),
Enc(pk,βl1[k]),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,θ1[k]))
テンプレート８１３の各項目は暗号文であるため、秘密鍵８０９がなければ、登録マニューシャ情報８０１を復元できない。
【０２４３】
また、Paillier暗号を用いた場合、公開鍵８０８はpk=(n,g)である。この場合、１１３は、テンプレート８１３の各k行目（k=1,…,m）に格納される情報を、
Enc(pk,d1[k])=g^{d1[k]}・rd1[k]^n mod n^2、
Enc(pk,βs1[k])=g^{βs1[k]}・rβs1[k]^n mod n^2、
Enc(pk,βl1[k])=g^{βl1[k]}・rβl1[k]^n mod n^2、
Enc(pk,i1[k])=g^{i1[k]}・ri1[k]^n mod n^2、
Enc(pk,j1[k])=g^{j1[k]}・rj1[k]^n mod n^2、
Enc(pk,θ1[k])=g^{θ1[k]}・rθ1[k]^n mod n^2、
と計算する。
ただし、rd1[k]、rβs1[k]、rβl1[k]、ri1[k]、rj1[k]及びrθ1[k]は、Z*_{n^2}から選ばれた乱数である。
【０２４４】
［認証フェーズ］
本実施形態の認証フェーズにおける、動作の一例を示すフローチャートは、第２の実施形態と同様に、図１６に示すフローチャートである。本実施形態は、図１６に示す様態に限定されない。
【０２４５】
本実施形態は、第２の実施形態に比べて、以下の各ステップの具体的な動作が異なる。
【０２４６】
本実施形態のステップＧ１において、認証比較表生成部２２は、認証マニューシャ情報８０３とパラメータ８０５とを、非特許文献１に記載の比較表生成アルゴリズムに入力し、マニューシャ対の相関関係を示す認証用比較表８２２を生成する。ここで、認証用比較表８２２の行数をn行とし、各l行目（l=1,…,n）に格納されている情報を(d2[l],βs2[l],βl2[l],i2[l],j2[l],θ2[l])と表す。
【０２４７】
本実施形態のステップＧ２において、認証比較表秘匿化部１２３は、pk（公開鍵８０８）を用いて認証用比較表８２２の各項目を暗号化したものを認証データ８１２３とする。すなわち、認証比較表秘匿化部１２３は、認証データ８１２３の各l行目（l=1,…,n）に、以下の情報を格納する。
(Enc(pk,-d2[l]),
Enc(pk,-βs2[l]),
Enc(pk,-βl2[l]),
Enc(pk,i2[l]),
Enc(pk,j2[l]),
Enc(pk,-θ2[l]))
また、Paillier暗号を用いた場合、公開鍵８０８はpk=(n,g)である。この場合、認証比較表秘匿化部１２３は、認証データ８１２３の各l行目（l=1,…,n）に格納する情報を、以下の通り計算する。
Enc(pk,-d2[l])=g^{-d2[l]}・rd2[l]^n mod n^2、
Enc(pk,-βs2[l])=g^{-βs2[l]}・rβs2[l]^n mod n^2、
Enc(pk,-βl2[l])=g^{-βl2[l]}・rβl2[l]^n mod n^2、
Enc(pk,i2[l])=g^{i2[l]}・ri2[l]^n mod n^2、
Enc(pk,j2[l])=g^{j2[l]}・rj2[l]^n mod n^2、
Enc(pk,-θ2[l])=g^{-θ2[l]}・rθ2[l]^n mod n^2
ただし、rd2[l]、rβs2[l]、rβl2[l]、ri2[l]、rj2[l]及びrθ2[l]は、Z*_{n^2}から選ばれた乱数である。
【０２４８】
本実施形態のステップＧ５において、照合データ生成部１４１は、例えば以下のように照合データ８２４を生成する。
【０２４９】
第１に、照合データ生成部１４１は、各登録テンプレート組８１０３について、次のように照合データ８２４を一つずつ計算する。
【０２５０】
照合データ生成部１４１は、テンプレート８１３の各k行目（k=1,…,m）に格納されている情報及び認証データ８１２３の各l行目（l=1,…,n）に格納されている情報に基づいて、
Enc(pk,d1[k]-d2[l])、
Enc(pk,βs1[k]-βs2[l])、
Enc(pk,βl1[k]-βl2[l])、
Enc(pk,θ1[k]-θ2[k])、
を計算する。
上述の各項目の値は、登録用比較表８１１のk行目と認証用比較表８２２のl行目に格納されているマニューシャ対の距離の差、２つのなす角の差、及び回転角の差の暗号文である。
【０２５１】
尚、テンプレート８１３の各k行目（k=1,…,m）に格納されている情報は、以下の通りである。
(Enc(pk,d1[k]),
Enc(pk,βs1[k]),
Enc(pk,βl1[k]),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,θ1[k]))
また、認証データ８１２３の各l行目（l=1,…,n）に格納されている情報は、以下の通りである。
(Enc(pk,-d2[l]),
Enc(pk,-βs2[l]),
Enc(pk,-βl2[l]),
Enc(pk,i2[l]),
Enc(pk,j2[l]),
Enc(pk,-θ2[l]))
第２に、照合データ生成部１４１は、
(Enc(pk,d1[k]-d2[l]),
Enc(pk,βs1[k]-βs2[l]),
Enc(pk,βl1[k]-βl2[l]),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,i2[l]),
Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
を照合データ８２４のランダムな行に格納する。
【０２５２】
すなわち、照合データ８２４は、登録テンプレート組８１０３に対して一つずつあり、各照合データ８２４の各行には８個の項目が含まれる。
【０２５３】
また、Paillier暗号を用いた場合、公開鍵８０８はpk=(n,g)である。この場合、照合データ生成部１４１は、各項目の値を
Enc(pk,d1[k]-d2[l])=Enc(pk,d1[k])・Enc(pk,-d2[l])、
Enc(pk,βs1[k]-βs2[l])=Enc(pk,βs1[k])・Enc(pk,-βs2[l])、
Enc(pk,βl1[k]-βl2[l])=Enc(pk,βl1[k])・Enc(pk,-βl2[l])、
Enc(pk,θ1[k]-θ2[l])=Enc(pk,θ1[k])・Enc(pk,-θ2[l]))、
Enc(pk,i2[l])=g^{i2[l]}・ri2[l]^n mod n^2、
Enc(pk,j2[l])=g^{j2[l]}・rj2[l]^n mod n^2、
と計算する。
ただし、ri2[l]及びrj2[l]は、Z*_{n^2}から選ばれた乱数である。
【０２５４】
本実施形態のステップＧ７において、照合データ復号部５３は、例えば以下のように復号後照合データ８５３を生成する。
【０２５５】
照合データ復号部５３は、各照合データ８２４と登録生体識別子８０２の組について、次のように復号後照合データ８５３を一つずつ計算する。
【０２５６】
各照合データ８２４の各行にはあるk（k=1,…,m）及びl（l=1,…,n）について
(Enc(pk,d1[k]-d2[l]),
Enc(pk,βs1[k]-βs2[l]),
Enc(pk,βl1[k]-βl2[l]),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,i2[l]),
Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
が格納されている。
【０２５７】
第１に、照合データ復号部５３は、このうち第１、２、３の項目を、各項目をsk（秘密鍵８０９）によって復号した値である、
Dec(sk,Enc(pk,d1[k]-d2[l]))= d1[k]-d2[l]、
Dec(sk,Enc(pk,βs1[k]-βs2[l]))= βs1[k]-βs2[l]、
Dec(sk,Enc(pk,βl1[k]-βl2[l]))= βl1[k]-βl2[l]、
でそれぞれ置き換える。
【０２５８】
第２に、照合データ復号部５３は、その置き換えられた以下の項目を各行に持つ表を復号後照合データ８５３とする。
(d1[k]-d2[l],
βs1[k]-βs2[l],
βl1[k]-βl2[l],
Enc(pk,i1[k]),Enc(pk,j1[k]),
Enc(pk,i2[l]),Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
すなわち、復号後照合データ８５３は、照合データ８２４と登録生体識別子８０２の各組に対して一つずつ生成され、各復号後照合データ８５３の各行には８個の項目が含まれる。
【０２５９】
また、Paillier暗号を用いた場合、秘密鍵８０９はsk=(n,g,p,q)である。この場合、照合データ復号部５３は、第１、２、３の項目の復号される値を、以下のように計算する。
Dec(sk,Enc(pk,d1[k]-d2[l]))
=[(Enc(pk,d1[k]-d2[l])^λ mod n^2 -1)/n]/[(g^λ mod n^2 -1)/n] mod n
= d1[k]-d2[l]、
Dec(sk,Enc(pk,βs1[k]-βs2[l]))
=[(Enc(pk,βs1[k]-βs2[l])^λ mod n^2 -1)/n]/[(g^λ mod n^2 -1)/n] mod n
=βs1[k]-βs2[l]、
Dec(sk,Enc(pk,βl1[k]-βl2[l]))
=[(Enc(pk,βl1[k]-βl2[l])^λ mod n^2 -1)/n]/[(g^λ mod n^2 -1)/n] mod n
=βl1[k]-βl2[l]
ただし、λは(p-1)と(q-1)の最小公倍数である。
【０２６０】
本実施形態のステップＧ８において、復号後照合データ検証部５４は、例えば以下のように検証後照合データ８５４を生成する。
【０２６１】
第１に、復号後照合データ検証部５４は、各復号後照合データ８５３の各行の
(d1[k]-d2[l],
βs1[k]-βs2[l],
βl1[k]-βl2[l],
Enc(pk,i1[k]),Enc(pk,j1[k]),
Enc(pk,i2[l]),Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
について、その各行の第１、２、３の項目のそれぞれが、以下の条件を満たすか否かを確認する。
（１）d1[k]-d2[l]≦Δd、
（２）βs1[k]-βs2[l]≦Δβ、
（３）βl1[k]-βl2[l]≦Δβ
ここで、Δd及びΔβはパラメータ８０５に含まれる、マニューシャ対の距離及び角度差に関する閾値である。
【０２６２】
第２に、復号後照合データ検証部５４は、上述の（１）から（３）の３つの条件が全て満たされる行の、以下に示す第４、５、６、７、８の項目を検証後照合データ８５４のランダムな行に格納する。すなわち、検証後照合データ８５４の各行には５個の項目が含まれる。
(Enc(pk,i1[k]),Enc(pk,j1[k]),
Enc(pk,i2[l]),Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
すなわち、検証後照合データ８５４は、復号後照合データ８５３と識別子の各組に対して一つずつ生成され、各検証後照合データ８５４の各行には５個の項目が含まれる。
【０２６３】
本実施形態のステップＧ９において、適合表生成部５５は、例えば以下のように適合表８５５を生成する。
【０２６４】
各検証後照合データ８５４の各行にはあるk（k=1,…,m）及びl（l=1,…,n）について、
(Enc(pk,i1[k]),Enc(pk,j1[k]),
Enc(pk,i2[l]),Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
が格納されている。
【０２６５】
第１に、適合表生成部５５は、この各項目をsk（秘密鍵８０９）によって復号した値、
Dec(sk,Enc(pk,i1[k]))=i1[k]、
Dec(sk,Enc(pk,j1[k]))=j1[k]、
Dec(sk,Enc(pk,i2[l]))=i2[l]、
Dec(sk,Enc(pk,j2[l]))=j2[l]、
Dec(sk,Enc(pk,θ1[k]-θ2[l]))=θ1[k]-θ2[l]、
でそれぞれ置き換える。
【０２６６】
次に、適合表生成部５５は、各行に(i1[k],j1[k],i2[l],j2[l],θ1[k]-θ2[l])を持つ表を適合表８５５とする。これは、非特許文献１に記載の適合表生成アルゴリズムの出力である適合表８５５である。
【０２６７】
また、Paillier暗号を用いた場合、秘密鍵８０９はsk=(n,g,p,q)である。この場合、適合表生成部５５は、各項目の復号される値を以下のように計算する。
Dec(sk,Enc(pk,i1[k]))
=[(Enc(pk,i1[k])^λ mod n^2 -1)/n]/[(g^λ mod n^2 -1)/n] mod n
= i1[k]、
Dec(sk,Enc(pk,j1[k]))
=[(Enc(pk,j1[k])^λ mod n^2 -1)/n]/[(g^λ mod n^2 -1)/n] mod n
=j1[k]、
Dec(sk,Enc(pk,i2[l]))
=[(Enc(pk,i2[l])^λ mod n^2 -1)/n]/[(g^λ mod n^2 -1)/n] mod n
=i2[l]、
Dec(sk,Enc(pk,j2[l]))
=[(Enc(pk,j2[l])^λ mod n^2 -1)/n]/[(g^λ mod n^2 -1)/n] mod n
=j2[l]、
Dec(sk,Enc(pk,θ1[k]-θ2[l]))
=[(Enc(pk,θ1[k]-θ2[l])^λ mod n^2 -1)/n]/[(g^λ mod n^2 -1)/n] mod n
=θ1[k]-θ2[l]
すなわち、適合表８５５は、検証後照合データ８５４と識別子の各組に対して一つずつ生成され、各適合表８５５の各行には５個の項目が含まれる。
【０２６８】
本実施形態のステップＧ１１において、サーバ装置１４０の適合表検証部４３は、例えば以下のように認証結果８４３を生成する。
【０２６９】
第１に、適合表検証部４３は、適合表８５５と登録生体識別子８０２との、一つまたは複数の組と、パラメータ８０５とを、非特許文献１に記載の適合表検証アルゴリズムに入力し、スコアを生成する。
【０２７０】
第２に、適合表検証部４３は、認証結果８４３をそのスコアと登録生体識別子８０２との組とから生成する。
【０２７１】
例えば、認証結果８４３は、例えば、スコアと登録生体識別子８０２との組の全てであってよい。また、適合表検証部４３は、スコアの高い識別子のみであってもよい。適合表検証部４３は、所望の高さのスコアが生成された組の有無であってもよい。
【０２７２】
［効果の説明］
上述した本実施形態における効果は、第２の実施形態と同様の効果を、１：Ｎ認証においても得ることが可能になる点である。換言すると、その効果は、認証者が自身の認証生体識別子８０４を提示する必要はなく、認証結果８４３を得ることが可能になる点である。ここで、その認証結果８４３は、認証マニューシャ情報８０３が、記憶装置３０に記憶されているテンプレート８１３を生成するのに用いられた登録マニューシャ情報８０１のいずれかと一致するか否かについて示す。
【０２７３】
その理由は、以下のような構成を含むからである。即ち、サーバ装置１４０の照合データ生成部１４１が、認証データ８１２３と各登録テンプレート組８１０３とに基づいて、登録テンプレート組８１０３のそれぞれに対応する照合データ８２４を生成するからである。
【０２７４】
［第６の実施形態］
第６の実施形態は、図１２に示す認証システム２００の構成において、マニューシャ情報の秘匿性をより高めるために、private set intersectionを用いる実施形態である。本実施形態では、private set intersectionで利用する加法準同型公開鍵暗号として、ＢＧＮ暗号を利用するsomewhat準同型公開鍵暗号を用いる場合について説明する。尚、本実施形態におけるprivate set intersectionは、前述の第４の実施形態におけるprivate set intersectionと同様である。
【０２７５】
［somewhat準同型公開鍵暗号の説明］
まず、本実施形態における、加法準同型公開鍵暗号について説明する。本実施形態における加法準同型公開鍵暗号は、前述の第３の実施形態と同様に、ある演算(+)及び(*)に対して、以下の式が成立する公開鍵暗号方式である。
Enc(pk,M1(+)M2)=Enc(pk,M1)(*)Enc(pk,M2)
加法準同型公開鍵暗号のうち、暗号化したまま平文の加算や定数倍に加え、平文の加算を１回だけ行うことができる公開鍵暗号方式を、somewhat準同型公開鍵暗号と呼ぶ。somewhat準同型公開鍵暗号方式として、例えば、Boneh-Goh-Nissim暗号（ＢＧＮ暗号）が知られている。ＢＧＮ暗号も(+)を加算、(*)を乗算とした加法準同型性を有する公開鍵暗号である。
【０２７６】
次に、ＢＧＮ暗号の各アルゴリズムの動作について説明する。
【０２７７】
鍵生成は、第１に、セキュリティパラメータとして、1^κを入力として受け取る。第２に、鍵生成は、κビットの素数p、qをランダムに選び、n=pqとする。第３に、鍵生成は、位数nの巡回群G及びGTで、ペアリング関数e:G×G→GTが存在するものをランダムに選ぶ。第４に、鍵生成は、群Gの生成元g、uをランダムに選び、h=u^qとする。第５に、鍵生成は、公開鍵pk=(G,GT,n,e,g,h)、秘密鍵sk=(G,GT,n,e,g,h,p)を出力する。
【０２７８】
暗号化は、第１に、公開鍵pk=(G,GT,n,e,g,h)、メッセージmを入力として受け取る。第２に、暗号化は、r∈Z*_nをランダムに選ぶ。第３に、暗号化は、暗号文c=g^m・h^rを出力する。
【０２７９】
復号は、秘密鍵sk=(G,GT,n,e,g,h,p)、暗号文cを入力として受け取り、復号結果としてm'=log_{g^p} c^pを出力する。
【０２８０】
加算は、公開鍵pk=(n,g)と、２つの暗号文c1=Enc(pk,m1)=g^{m1}・h^{r1}及びc2=Enc(pk,m2)=g^{m2}・h^{r2}と、を入力として受け取り、
c1・c2= g^{m1+m2}・h^{r1+r2}= Enc(pk,m1+m2)を出力する。
すなわち、Enc(pk,M1+M2)=Enc(pk,M1)・Enc(pk,M2)及びEnc(pk,c・M)=Enc(pk,M)^cが成り立つ。
【０２８１】
乗算は、公開鍵pk=(n,g)と、２つの暗号文c1=Enc(pk,m1)=g^{m1}・h^{r1}及びc2=Enc(pk,m2)=g^{m2}・h^{r2}と、を入力として受け取り、暗号文d=e(c1,c2)を出力する。dはあるxに対してd=e(g,g)^{m1m2+qx}を満たす。これをEnc'(pk,m1m2)と表す。
【０２８２】
乗算後の復号は、秘密鍵sk=(G,GT,n,e,g,h,p)、暗号文dを入力として受け取り、復号結果としてm'=log_{e(g,g)^p} d^pを出力する。これをDec'(sk,d)と表す。
【０２８３】
乗算後の加算は、公開鍵pk=(n,g)と、２つの暗号文の
d1=e(c1,c'1)=e(g,g)^{m1m'1+qx1}=Enc'(pk,m1m'1)及び
d2=e(c2,c'2)=e(g,g)^{m2m'2+qx2}=Enc'(pk,m2m'2)と、を入力として受け取り、
d1・d2=e(g,g)^{(m1m'1+m2m'2)+q(x1+x2)}=Enc'(pk,m1m'1+m2m'2)を出力する。
【０２８４】
すなわち、Enc'(pk,M1+M2)=Enc'(pk,M1)・Enc'(pk,M2)及び
Enc'(pk,c・M)=Enc'(pk,M)^cが成り立つ。
【０２８５】
［構成の説明］
本実施形態の構成は、図１２に示す第２の実施形態の構成と同様である。
【０２８６】
［動作の説明］
次に、図面を参照して、本実施形態の動作について詳細に説明する。
【０２８７】
本実施形態の動作は、第５の実施形態の動作と比べて以下の点が異なる。本実施形態の登録フェーズ及び認証フェーズにおける動作は、登録用比較表８１１の各項目を暗号化する代わりに、各項目とその近傍値を集合とみなし、private set intersectionを用いて暗号化する。また、その実現のため、本実施形態では暗号方式としてsomewhat準同型公開鍵暗号方式であるＢＧＮ暗号を用いる。
【０２８８】
［準備フェーズ］
本実施形態の準備フェーズにおける、動作の一例を示すフローチャートは、第５の実施形態と同様に、図９に示すフローチャートである。本実施形態は、図９に示す様態に限定されない。
【０２８９】
本実施形態は、第５の実施形態に比べて、以下の各ステップの具体的な動作が異なる。
【０２９０】
本実施形態のステップＡ１において、鍵生成部５１は、次のようにＢＧＮ暗号の公開鍵８０８及び秘密鍵８０９生成する。
【０２９１】
鍵生成部５１は、κビットの素数p、qをランダムに選び、n=pqとする。
【０２９２】
次に、鍵生成部５１は、位数nの巡回群G及びGTで、ペアリング関数e:G×G→GTが存在するものをランダムに選ぶ。
【０２９３】
次に、鍵生成部５１は、群Gの生成元g、uをランダムに選び、h=u^qとする。
【０２９４】
次に、鍵生成部５１は、公開鍵８０８をpk=(G,GT,n,e,g,h)、秘密鍵８０９をsk=(G,GT,n,e,g,h,p)とする。
【０２９５】
［登録フェーズ］
本実施形態の登録フェーズにおける、動作の一例を示すフローチャートは、第５の実施形態と同様に、図１０に示すフローチャートである。本実施形態は、図１０に示す様態に限定されない。
【０２９６】
本実施形態は、第５の実施形態に比べて、以下の各ステップの具体的な動作が異なる。
【０２９７】
本実施形態のステップＢ２において、登録者装置１０の比較表秘匿化準備部１２は、登録用比較表８１１とパラメータ８０５と公開鍵８０８とに基づいて、秘匿用比較表８１２を生成する。
【０２９８】
例えば、比較表秘匿化準備部１２は、以下のように秘匿用比較表８１２を生成する。
【０２９９】
第１に、比較表秘匿化準備部１２は、登録用比較表８１１の各k行目（k=1,…,m）に格納されている(d1[k],βs1[k],βl1[k],i1[k],j1[k],θ1[k])のうち、第１、２、３の項目について、以下に示す高々df次の多項式、高々dg次の多項式及び高々dh次の多項式をそれぞれランダムに生成する。
（１）高々df次の多項式F[k](x)は、x=d1[k]-Δd、…,d1[k],…,d1[k]+Δdの時にF[k](x)=0となり、それ以外の時にF[k](x)が0以外となる。
（２）高々dg次の多項式G[k](x)は、x=βs1[k]-Δβ、…,βs1[k],…,βs1[k]+Δβの時にG[k](x)=0となり、それ以外の時にG[k](x)が0以外となる。
（３）高々dh次の多項式H[k](x)は、x=βl1[k]-Δβ、…,βl1[k],…,βl1[k]+Δβの時にH[k](x)=0となり、それ以外の時にH[k](x)が0以外となる。
ただし、df、dg、dh、Δd及びΔβはパラメータ８０５に含まれるものとする。Δd及びΔβはマニューシャ対の距離及び角度差に関する閾値である。
【０３００】
例えば、
F[k](x)=(x-d1[k]+Δd)…(x-d1[k])…(x-d1[k]-Δd)
は上記の条件を満たす2Δd+1次の多項式である。３つの多項式F[k](x),G[k](x)、及びH[k](x)を展開したものをそれぞれ、
F[k](x)=f[k][df]・x^{df}+f[k][df-1]・x^{df-1}+…+f[k][1]・x+f[k][0]、
G[k](x)=g[k][dg]・x^{dg}+g[k][dg-1]・x^{dg-1}+…+g[k][1]・x+g[k][0]、
H[k](x)=h[k][dh]・x^{dh}+h[k][dh-1]・x^{dh-1}+…+h[k][1]・x+h[k][0]、
と表す。比較表秘匿化準備部１２は、登録用比較表８１１に格納されている(d1[k],βs1[k],βl1[k],i1[k],j1[k],θ1[k])のうち、第１、２、３の項目を、対応する多項式の係数の組
(f[k][df],f[k][df-1],…,f[k][1],f[k][0])、
(g[k][dg],g[k][dg-1],…,g[k][1],g[k][0])、
(h[k][dh],h[k][dh-1],…,h[k][1],h[k][0])、
でそれぞれ置き換えたものを秘匿用比較表８１２とする。つまり、秘匿用比較表８１２のk行目は、以下の通りである。
((f[k][df],f[k][df-1],…,f[k][1],f[k][0]),
(g[k][dg],g[k][dg-1],…,g[k][1],g[k][0]),
(h[k][dh],h[k][dh-1],…,h[k][1],h[k][0]),
i1[k],j1[k],θ1[k])
本実施形態のステップＢ３において、登録者装置１０の比較表秘匿化部１３は、pk（公開鍵８０８）を用いて秘匿用比較表８１２の各項目を暗号化したものをテンプレート８１３とする。
【０３０１】
すなわち、テンプレート８１３の各k行目（k=1,…,m）に格納される情報は、
((Enc(pk,f[k][df]),…,Enc(pk,f[k][0])),
(Enc(pk,g[k][dg]),…,Enc(pk,g[k][0])),
(Enc(pk,h[k][dh]),…,Enc(pk,h[k][0])),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,θ1[k]))
である。尚、テンプレート８１３の各項目は暗号文であるため、補助装置５０の秘密鍵記憶部５２が記憶する秘密鍵８０９がなければ、登録マニューシャ情報８０１を復元できない。
【０３０２】
また、ＢＧＮ暗号を用いた場合、公開鍵８０８はpk=(G,GT,n,e,g,h)である。この場合、比較表秘匿化部１３は、テンプレート８１３の各k行目（k=1,…,m）に以下のように計算される値を格納する。
Enc(pk,f[k][df])=g^{f[k][df]}・h^{rf[k][df]}、
…、
Enc(pk,f[k][0])=g^{f[k][0]}・h^{rf[k][0]}、
Enc(pk,g[k][dg])=g^{g[k][dg]}・h^{rg[k][dg]}、
…、
Enc(pk,g[k][0]))=g^{g[k][0])}・h^{rg[k][0]}、
Enc(pk,h[k][dh])=g^{h[k][dh]}・h^{rh[k][dh]}、
…、
Enc(pk,h[k][0])=g^{h[k][0]}・h^{rh[k][0]}、
Enc(pk,i1[k])=g^{i1[k]}・h^{ri1[k]}、
Enc(pk,j1[k])=g^{j1[k]}・h^{rj1[k]}、
Enc(pk,θ1[k])=g^{θ1[k]}・h^{rθ1[k]}
ただし、rf[k][df]、…、rf[k][0]、rg[k][dg]、…、rg[k][0]、rh[k][dh]、…、rh[k][0]、ri1[k]、rj1[k]及びrθ1[k]は、Z*_nから選ばれた乱数である。
【０３０３】
［認証フェーズ］
本実施形態の認証フェーズにおける、動作の一例を示すフローチャートは、第５の実施形態と同様に、図１６に示すフローチャートである。本実施形態は、図１６に示す様態に限定されない。
【０３０４】
本実施形態は、第５の実施形態に比べて、以下の各ステップの具体的な動作が異なる。
【０３０５】
本実施形態のステップＧ２において、認証比較表秘匿化部１２３は、認証用比較表８２２、公開鍵８０８、及びパラメータ８０５に基づいて、認証用比較表８２２の各l行目（l=1,…,n）に格納されている情報に対し、それぞれの項目を以下のように暗号化する。ここで、パラメータ８０５は、df、dg、dhを含む。認証用比較表８２２の各l行目（l=1,…,n）に格納されている情報は、
(d2[l],βs2[l],βl2[l],i2[l],j2[l],θ2[l])である。
【０３０６】
認証比較表秘匿化部１２３は、第１の項目のd2[l]を、d2[l],…,d2[l]^{df}の暗号文に置き換える。認証比較表秘匿化部１２３は、第２の項目の
βs2[l]を、βs2[l],…,βs2[l]^{dg}の暗号文に置き換える。認証比較表秘匿化部１２３は、第３の項目のβl2[l]を、βl2[l],…,βl2[l]^{dh}の暗号文に置き換える。更に、認証比較表秘匿化部１２３は、第４、５、６の項目のそれぞれを、第４、５、６の項目の暗号文のそれぞれに、置き換える。
【０３０７】
すなわち、認証データ８１２３の各l行目（l=1,…,n）に格納される情報は、以下の通りである。
(Enc(pk,d2[l]^{df}),…,Enc(pk,d2[l]),
Enc(pk,βs2[l]^{dg}),…,Enc(pk,βs2[l]),
Enc(pk,βl2[l]^{dh}),…,Enc(pk,βl2[l]),
Enc(pk,i2[l]),
Enc(pk,j2[l]),
Enc(pk,-θ2[l])）
また、ＢＧＮ暗号を用いた場合、公開鍵８０８はpk=(G,GT,n,e,g,h)である。この場合、認証比較表秘匿化部１２３は、認証データ８１２３の各l行目（l=1,…,n）に格納される情報を、以下のように計算する。
Enc(pk,d2[l]^{df})=g^{d2[l]^{df}}・h^{rd2[l][df]}、
…、
Enc(pk,d2[l])=g^{d2[l]}・h^{rd2[l][1]}、
Enc(pk,βs2[l]^{dg})=g^{βs2[l]^{dg}}・h^{rβs2[l][dg]}、
…、
Enc(pk,βs2[l])=g^{βs2[l]}・h^{rβs2[l][1]}、
Enc(pk,βl2[l]^{dh})=g^{βl2[l]^{dh}}・h^{rβl2[l][dh]}、
…、
Enc(pk,βl2[l])=g^{βl2[l]}・h^{rβl2[l][1]}、
Enc(pk,i2[l])=g^{i2[l]}・h^{ri2[l]}、
Enc(pk,j2[l])=g^{j2[l]}・h^{rj2[l]}、
Enc(pk,-θ2[l])=g^{-θ2[l]}・h^{rθ2[l]}
ただし、rd2[l][df]、…、rd2[l][1]、rβs2[l][dg]、…、rβs2[l][1]、rβl2[l][dh]、…、rβl2[l][1]、ri2[l]、rj2[l]及びrθ2[l]は、Z*_nから選ばれた乱数である。
【０３０８】
本実施形態のステップＧ５において、照合データ生成部１４１は、例えば以下のように照合データ８２４を生成する。
【０３０９】
照合データ生成部１４１は、各テンプレート８１３の各k行目（k=1,…,m）に格納されている情報、認証データ８１２３の各l行目（l=1,…,n）に格納されている情報及びpk（公開鍵８０８）に基づいて、公開鍵暗号方式のsomewhat準同型性を利用して、以下の値を計算する。
Enc'(pk,F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l]))、
Enc(pk,θ1[k]-θ2[k]))
各テンプレート８１３の各k行目（k=1,…,m）に格納されている情報は、以下の通りである。
(Enc(f[k][df]),…,Enc(pk,f[k][0])),
(Enc(pk,g[k][dg]),…,Enc(pk,g[k][0])),
(Enc(pk,h[k][dh]),…,Enc(pk,h[k][0])),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,θ1[k])
また、認証データ８１２３の各l行目（l=1,…,n）に格納されている情報は、以下の通りである。
(Enc(pk,d2[l]^{df}),…,Enc(pk,d2[l]),
Enc(pk,βs2[l]^{dg}),…,Enc(pk,βs2[l]),
Enc(pk,βl2[l]^{dh}),…,Enc(pk,βl2[l]),
Enc(pk,i2[l]),
Enc(pk,j2[l]),
Enc(pk,-θ2[l]))
ただし、F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l])は、多項式を、認証マニューシャ情報８０３に含まれるマニューシャ対の相関関係の情報を用いて評価した値である。多項式F[k](x)、G[k](x)及びH[k](x)は、ステップＢ２において登録マニューシャ情報８０１に含まれるマニューシャ対の相関関係の情報から生成された多項式（１）−（３）である。二つのマニューシャ対が一致するとみなされる場合には、３つの多項式の評価値F[k](d2[l]),G[k](βs2[l]),H[k](βl2[l])が全て0となる。
【０３１０】
次に、照合データ生成部１４１は、以下の項目を照合データ８２４のランダムな行に格納する。
(Enc'(pk,F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l])),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,i2[k]),
Enc(pk,j2[k]),
Enc(pk,θ1[k]-θ2[k]))
すなわち、照合データ８２４はテンプレート８１３と登録生体識別子８０２との組に対して一つずつあり、各照合データ８２４の各行には６個の項目が含まれる。
【０３１１】
ＢＧＮ暗号を用いた場合、公開鍵８０８はpk=(G,GT,n,e,g,h)であり、各項目の値は、以下のように計算される。
Enc'(pk,F[k](d2[l]))
=e(Enc(pk,f[k][df]),Enc(d2[l]^{df}))・e(Enc(pk,f[k][df-1]),Enc(d2[l]^{df-1}))・…・e(Enc(pk,f[k][1]),Enc(d2[l]))・e(Enc(pk,f[k][0]),Enc(1))、
Enc'(pk,G[k](βs2[l]))
=e(Enc(pk,g[k][dg]),Enc(βs2[l]^{dg}))・e(Enc(pk,g[k][dg-1]),Enc(βs2[l]^{dg-1}))・…・e(Enc(pk,g[k][1]),Enc(βs2[l]))・e(Enc(pk,g[k][0]),Enc(1))、
Enc'(pk,H[k](βl2[l]))
=e(Enc(pk,h[k][dh]),Enc(βl2[l]^{dh}))・e(Enc(pk,h[k][dh-1]),Enc(βl2[l]^{dh-1}))・…・e(Enc(pk,h[k][1]),Enc(βl2[l]))・e(Enc(pk,h[k][0]),Enc(1))、
Enc'(pk,F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l]))
=Enc'(pk,F[k](d2[l]))・Enc'(pk,G[k](βs2[l]))・Enc'(pk,H[k](βl2[l]))、
Enc(pk,θ1[k]-θ2[k]))=Enc(pk,θ1[k])・Enc(pk,-θ2[l])
本実施形態のステップＧ７において、照合データ復号部５３は、照合データ８２４と登録生体識別子８０２との組のそれぞれについて、例えば次のように復号後照合データ８５３を一つずつ計算する。
【０３１２】
各照合データ８２４の各行にはあるk（k=1,…,m）及びl（l=1,…,n）について、
(Enc'(pk,F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l])),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,i2[l]),
Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))、
が格納されている。
【０３１３】
照合データ復号部５３は、このうち第１の項目に含まれる各項目を、sk（秘密鍵８０９）によって復号した値である、
Dec'(Enc'(pk,F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l])))
=F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l])
で置き換えて得られる、
(F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l]),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,i2[l]),
Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))、
を各行に持つ表を復号後照合データ８５３とする。
【０３１４】
すなわち、復号後照合データ８５３は、照合データ８２４と識別子の各組に対して一つずつ生成され、各復号後照合データ８５３の各行には６個の項目が含まれる。
【０３１５】
また、ＢＧＮ暗号を用いた場合、秘密鍵８０９は、sk=(G,GT,n,e,g,h,p)である。この場合、照合データ復号部５３は、第１の項目の復号される値を、以下のように計算する。
Dec'(Enc'(pk,F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l])))
=log_{e(g,g)^p} {Enc'(pk,F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l]))}^p
=F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l])
本実施形態のステップＧ８において、復号後照合データ検証部５４は、一つまたは複数の復号後照合データ８５３とパラメータ８０５とに基づいて、例えば以下のように検証後照合データ８５４を生成する。
【０３１６】
第１に、復号後照合データ検証部５４は、各復号後照合データ８５３の各行の、
(F[k](d2[l])+G[k](βs2[l])+H[k](βl2[l]),
Enc(pk,i1[k]),
Enc(pk,j1[k]),
Enc(pk,i2[l]),
Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
について、その各行の第１の項目が「０」と一致するかどうかを確認する。
【０３１７】
第２に、復号後照合データ検証部５４は、第１の項目が「０」と一致する行の、第１の項目以外の以下の各項目を検証後照合データ８５４のランダムな行に格納する。
(Enc(pk,i1[k]),Enc(pk,j1[k]),
Enc(pk,i2[l]),Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
すなわち、検証後照合データ８５４は、復号後照合データ８５３と識別子の各組に対して一つずつ生成され、各検証後照合データ８５４の各行には５個の項目が含まれる。
【０３１８】
本実施形態のステップＧ９において、適合表生成部５５は、一つまたは複数の検証後照合データ８５４、パラメータ８０５、及び秘密鍵記憶部５２に記憶されているsk（秘密鍵８０９）に基づいて、例えば以下のように適合表８５５を生成する。
【０３１９】
各検証後照合データ８５４の各行にはあるk（k=1,…,m）及びl（l=1,…,n）について、
(Enc(pk,i1[k]),Enc(pk,j1[k]),
Enc(pk,i2[l]),Enc(pk,j2[l]),
Enc(pk,θ1[k]-θ2[l]))
が格納されている。
【０３２０】
ＢＧＮ暗号を用いる場合、秘密鍵８０９はsk=(G,GT,n,e,g,h,p)である。本実施形態の適合表生成部５５は、各項目の復号される値を、以下のように計算する。
Dec(sk,Enc(pk,i1[k]))
=log_{g^p} {Enc(pk,i1[k])}^p
=i1[k]、
Dec(sk,Enc(pk,j1[k]))
=log_{g^p} {Enc(pk,j1[k])}^p
=j1[k]、
Dec(sk,Enc(pk,i2[k]))
=log_{g^p} {Enc(pk,i2[k])}^p
=i2[k]、
Dec(sk,Enc(pk,j2[k]))
=log_{g^p} {Enc(pk,j2[k])}^p
=j2[k]、
Dec(sk,Enc(pk,θ1[k]-θ2[k]))
=log_{g^p} {Enc(pk,θ1[k]-θ2[k])}^p
=θ1[k]-θ2[k]
すなわち、適合表８５５は、検証後照合データ８５４と識別子の各組に対して一つずつ生成され、各適合表８５５の各行には５個の項目が含まれる。
【０３２１】
［効果の説明］
本実施形態の効果は、第２の実施形態の効果に加えて、補助装置５０が取得可能な情報をより少なくすることを可能にする点である。
【０３２２】
その理由は、以下の構成を含むからである。即ち、第１に鍵生成部５１が加法準同型公開鍵暗号としてPaillier暗号の公開鍵８０８及び秘密鍵８０９を生成する。
第２に、登録者装置１０、認証者装置１２０、サーバ装置１４０及び補助装置５０がprivate set intersectionに対応するように処理を実行するからである。換言すると、補助装置５０は、登録マニューシャ情報８０１と認証マニューシャ情報８０３とが近いか否かを、秘密鍵８０９を用いて復号した結果が０（近い）になるか乱数（遠い）になるかにより確認する。
【０３２３】
［第７の実施形態］
［構成の説明］
図１７は、第７の実施形態に係る認証システム３００の構成を示すブロック図である。
【０３２４】
図１７に示すように、認証システム３００は、登録部７１０、認証データ生成部７２２、記憶部７３０、照合データ生成部７７０、適合情報生成部７５０、鍵生成部７５１及び適合検証部７４２を含む。
【０３２５】
登録部７１０、認証データ生成部７２２、記憶部７３０、照合データ生成部７７０、適合情報生成部７５０、鍵生成部７５１及び適合検証部７４２のそれぞれは、複数のノード（不図示）のいずれかに含まれる。その複数のノードは、例えば図１に示す、登録者装置１０、認証者装置２０、記憶装置３０、サーバ装置４０及び補助装置５０や、図１２に示す、認証者装置１２０、記憶装置１３０及びサーバ装置１４０などであってよい。
【０３２６】
鍵生成部７５１及び適合情報生成部７５０のいずれかを含むノードと、登録部７１０、記憶部７３０、認証データ生成部７２２及び照合データ生成部７７０のいずれかを含むノードとは、異なるノードである。更に、記憶部７３０及び適合検証部７４２のいずれかを含むノードと、登録部７１０、認証データ生成部７２２のいずれかを含むノードとは、異なるノードである。
【０３２７】
各ノードは、ネットワーク（不図示）によって、互いに接続される。
【０３２８】
＝＝＝登録部７１０＝＝＝
登録部７１０は、登録情報（例えば、登録マニューシャ情報８０１）に含まれる特徴間の第１の相関関係と、公開鍵８０８とに基づいて、その第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレート８１３を生成する。また、登録部７１０は、private set intersectionを用いて暗号化した第１の暗号化相関関係を含むテンプレート８１３を生成してよい。
【０３２９】
例えば、登録部７１０は、図２に示す登録者装置１０であってよい。
【０３３０】
登録部７１０は、テンプレート８１３を記憶部７３０へ送信してよい。また、登録部７１０は、テンプレート８１３を含む登録テンプレート組８１０３を記憶部７３０に送信してもよい。
【０３３１】
＝＝＝記憶部７３０＝＝＝
記憶部７３０は、テンプレート８１３を記憶する。例えば、記憶部７３０は、図４に示す記憶装置３０や、図１４に示す記憶装置１３０であってよい。
【０３３２】
記憶部７３０は、テンプレート８１３を照合データ生成部７７０へ送信してよい。例えば、記憶部７３０は、照合データ生成部７７０から登録生体識別子８０２を指定してテンプレート８１３を要求された場合、その登録生体識別子８０２に対応するテンプレート８１３を照合データ生成部７７０へ送信する。また、記憶部７３０は、全てのテンプレート８１３を、それらのテンプレート８１３のそれぞれに対応する登録生体識別子８０２と組みにして、照合データ生成部７７０へ送信してもよい。
【０３３３】
＝＝＝認証データ生成部７２２＝＝＝
認証データ生成部７２２は、認証される情報である認証情報（例えば、認証マニューシャ情報８０３）に含まれる特徴間の第２の相関関係を含む認証データ８７２を生成する。或いは、認証データ生成部７２２は、その第２の相関関係と、公開鍵８０８とに基づいて、その第２の相関関係が暗号化された第２の暗号化相関関係に基づいて認証データ８７２を生成してもよい。
【０３３４】
認証データ生成部７２２は、認証データ８７２を照合データ生成部７７０へ送信してよい。
【０３３５】
例えば、認証データ生成部７２２は、図３に示す認証者装置２０の、認証比較表生成部２２を含んでよい。この場合、認証データ８７２は、前述の認証用比較表８２２であってよい。
【０３３６】
或いは、認証データ生成部７２２は、図１３に示す認証者装置１２０の、認証比較表生成部２２及び認証比較表秘匿化部１２３を含んでよい。この場合、認証データ８７２は、前述の認証データ８１２３であってよい。
【０３３７】
＝＝＝照合データ生成部７７０＝＝＝
照合データ生成部７７０は、認証データ８７２とテンプレート８１３と公開鍵８０８とに基づいて、暗号文を含む照合データ８２４を生成する。その暗号文は、前述の暗号化方式に対応する演算結果であって、第１の暗号化相関関係と第２の相関関係と間の関係を示す。ここで、公開鍵８０８は、特定の暗号化方式の公開鍵である。その特定の暗号化方式は、例えば、加法準同型公開鍵暗号方式や、somewhat準同型公開鍵暗号方式であってよい。その加法準同型公開鍵暗号方式は、Paillier暗号であってよい。そのsomewhat準同型公開鍵暗号方式は、ＢＧＮ暗号であってよい。
【０３３８】
照合データ生成部７７０は、照合データ８２４を適合情報生成部７５０へ送信してよい。照合データ生成部７７０は、照合データ８２４と登録生体識別子８０２とを組にして送信してもよい。
【０３３９】
例えば、照合データ生成部７７０は、認証データ生成部７２２が認証比較表生成部２２を含む場合、図３に示す認証者装置２０の認証要求生成部２１及び照合データ生成部２４と、図５に示すサーバ装置４０の照合データ転送部４２とを含んでよい。
【０３４０】
或いは、照合データ生成部７７０は、認証データ生成部７２２が認証比較表生成部２２及び認証比較表秘匿化部１２３を含む場合、図１５に示すサーバ装置１４０の照合データ生成部１４１を含んでよい。
【０３４１】
＝＝＝鍵生成部７５１＝＝＝
鍵生成部７５１は、公開鍵８０８と公開鍵８０８に対応する秘密鍵８０９とを生成する。
【０３４２】
例えば、鍵生成部７５１は、加法準同型公開鍵暗号としてPaillier暗号の公開鍵８０８及び秘密鍵８０９を生成してよい。また、鍵生成部７５１は、somewhat準同型公開鍵暗号としてＢＧＮ暗号の公開鍵８０８及び秘密鍵８０９を生成してよい。
【０３４３】
鍵生成部７５１は、公開鍵８０８を登録部７１０、認証データ生成部７２２、照合データ生成部７７０及び適合検証部７４２に送信してよい。また、鍵生成部７５１は、秘密鍵８０９を適合情報生成部７５０へ送信してよい。
【０３４４】
例えば、鍵生成部７５１は、図６に示す補助装置５０の鍵生成部５１を含んでよい。
【０３４５】
＝＝＝適合情報生成部７５０＝＝＝
適合情報生成部７５０は、照合データ８２４と第２の相関関係に関する閾値を少なくとも含むパラメータ８０５とに基づいて、登録生体情報と認証生体情報との類似度を示す、適合表８５５を生成する。
【０３４６】
適合情報生成部７５０は、適合表８５５を適合検証部７４２へ送信してよい。
【０３４７】
例えば、適合情報生成部７５０は、図６に示す補助装置５０の、秘密鍵記憶部５２、照合データ復号部５３、復号後照合データ検証部５４及び適合表生成部５５を含んでよい。
【０３４８】
＝＝＝適合検証部７４２＝＝＝
適合検証部７４２は、適合表８５５に基づいて、認証結果８４３を生成する。
【０３４９】
適合検証部７４２は、認証結果８４３を認証データ生成部７２２へ送信してよい。
【０３５０】
以上説明した図１７に示す各構成要素は、ハードウエア単位の回路でも、マイクロチップに含まれるモジュールでも、コンピュータ装置の機能単位に分割された構成要素でもよい。ここでは、図１７に示す構成要素が、コンピュータ装置（ノード）の機能単位に分割された構成要素であるものとして説明している。
【０３５１】
本実施形態における、登録部７１０、認証データ生成部７２２、記憶部７３０、照合データ生成部７７０、適合検証部７４２、適合情報生成部７５０及び鍵生成部７５１のいずれかを含むノードは、第１の実施形態と同様に、コンピュータ７００で実現されてよい。尚、本実施形態のコンピュータ７００への詳細な展開は、前述の説明により容易に実現可能である為、その説明を省略する。
【０３５２】
［効果の説明］
上述した本実施形態における効果は、処理対象情報の位置と回転との補正が不要で、かつ、クライアントがその処理対象情報以外の秘密情報を持つ必要がなく、かつ、その処理対象情報が外部に漏洩することのない、認証を実現することが可能になる点である。
【０３５３】
その理由は、以下のような構成を含むからである。即ち、第１に登録部７１０が登録マニューシャ情報８０１に対応するテンプレート８１３を生成する。第２に、認証データ生成部７２２が認証マニューシャ情報８０３に対応する認証データ８７２を生成する。第３に、照合データ生成部７７０がテンプレート８１３と認証データ８７２とに基づいて照合データ８２４を生成する。第４に、適合情報生成部７５０が照合データ８２４に基づいて、適合表８５５を生成する。第５に、適合検証部７４２が認証結果８４３を生成し、出力する。
【０３５４】
以上の各実施形態で説明した各構成要素が搭載される各装置或いは各ノードは、上述の実施形態の例に限定されない。例えば、システム１００において、サーバ装置４０に搭載される適合表検証部４３は、補助装置５０に搭載されてもよい。同様に、生体認証システム２００において、サーバ装置１４０に搭載される適合表検証部４３は、補助装置５０に搭載されてよい。即ち、以上の各実施形態で説明した各構成要素は、各実施形態を実施する上で機能的、性能的、その他の特性に対して支障を来さない範囲内で、各実施形態に示す任意の各装置或いは各ノードに搭載されてよい。更に、各実施形態に示す任意の各装置或いは各ノードは、各実施形態を実施する上で機能的、性能的、その他の特性に対して支障を来さない範囲内で、任意の分割或いは、結合されてよい。
【０３５５】
各実施形態は、登録時にも認証時にも生体情報が秘匿され、秘匿されたままの生体情報に基づいて認証が行われる、生体認証に適用できる。また、各実施形態は、暗号データを復号せずに照合する暗号文照合システムに関し、特に、暗号化されたデータの曖昧さを許容する照合システムにも適用できる。
【０３５６】
以上の各実施形態で説明した各構成要素は、必ずしも個々に独立した存在である必要はない。例えば、複数個の任意のその構成要素が１個のモジュールとして実現されてよい。また、その構成要素の内の任意の一つが複数のモジュールで実現されてもよい。また、その構成要素の内の任意の一つがその構成要素の内の任意の他の一つであってよい。また、その構成要素の内の任意の一つの一部と、その構成要素の内の任意の他の一つの一部とが重複してもよい。
【０３５７】
また、以上説明した各実施形態では、複数の動作をフローチャートの形式で順番に記載してあるが、その記載の順番は複数の動作を実行する順番を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の順番は各実施形態を実施する上で機能的、性能的、その他の特性に対して支障を来さない範囲内で、変更することができる。
【０３５８】
更に、以上説明した各実施形態では、複数の動作は個々に相違するタイミングで実行されることに限定されない。例えば、各実施形態を実施する上で機能的、性能的、その他の特性に対して支障を来さない範囲内で、ある動作の実行中に他の動作が発生してよい。また、各実施形態を実施する上で機能的、性能的、その他の特性に対して支障を来さない範囲内で、ある動作と他の動作との実行タイミングが部分的に乃至全部において重複してもよい。
【０３５９】
更に、以上説明した各実施形態では、ある動作が他の動作の契機になるように記載しているが、その記載はある動作と他の動作との関係を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の関係は各実施形態を実施する上で機能的、性能的、その他の特性に対して支障を来さない範囲内で、変更することができる。また各構成要素の各動作の具体的な記載は、各構成要素の各動作を限定するものではない。このため、各構成要素の具体的な各動作は、各実施形態を実施する上で機能的、性能的、その他の特性に対して支障を来さない範囲内で変更されてよい。
また、図面中の矢印の方向は、一例を示すものであり、ブロック間の信号の向きを限定するものではない。
【０３６０】
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【０３６１】
（付記１）登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートを生成する登録部と、
前記テンプレートを記憶する記憶部と
認証される情報である認証情報に含まれる特徴間の第２の相関関係に基づいて認証データを生成する認証データ生成部と、
前記テンプレートと前記認証データと前記公開鍵とに基づいて、
前記第１の相関関係と前記第２の相関関係と間の関係を示す、前記暗号化方式に対応する演算結果である、暗号文を含む照合データを生成する照合データ生成部と、
前記公開鍵と前記公開鍵に対応する秘密鍵とを生成する鍵生成部と、
前記照合データと前記秘密鍵と前記第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータとに基づいて、前記登録情報と前記認証情報の類似度を示す、適合情報を生成する適合情報生成部と、
前記適合情報に基づいて、認証結果を生成し、出力する適合検証部と、を含み、
前記鍵生成部及び適合情報生成部のいずれかを含むノードと、前記登録部、前記記憶部、認証データ生成部及び照合データ生成部のいずれかを含むノードとが異なり、
前記記憶部と前記適合検証部のいずれかを含むノードと、前記登録部、認証データ生成部のいずれかを含むノードとが更に異なる
情報処理システム。
【０３６２】
（付記２）前記鍵生成部は、加法準同型性を有する前記公開鍵と前記秘密鍵とを生成する、
付記１記載の情報処理システム。
【０３６３】
（付記３）前記照合データ生成部は、前記第１の相関関係と前記第２の相関関係との差を示す前記暗号文を少なくとも含む、前記照合データを生成し、
前記適合情報生成部は、前記暗号文が示す差と、前記パラメータに含まれる閾値との比較結果に基づいて、前記適合情報を生成する、
付記１または２記載の情報処理システム。
【０３６４】
（付記４）前記登録部は、前記第１の暗号化相関関係が、前記第１の相関関係との差が前記パラメータに含まれる閾値以下である第３の相関関係に対応する暗号文を含む、前記テンプレートを生成し、
前記照合データ生成部は、前記第１の相関関係と前記第２の相関関係との差が前記パラメータに含まれる閾値以下であるか否かを示す暗号文を少なくとも含む、前記照合データを生成し、
前記適合情報生成部は、前記第１の相関関係と前記第２の相関関係との差が前記パラメータに含まれる閾値以下であるか否かに基づいて、前記適合情報を生成する、
付記１または２記載の情報処理システム。
【０３６５】
（付記５）前記登録部は、前記第１の暗号化相関関係が、前記第３の相関関係を代入すると０となる多項式の係数の暗号文を含む、前記テンプレートを生成し、
前記照合データ生成部は、前記第２の相関関係を代入した前記多項式の評価値の暗号文を少なくとも含む、前記照合データを生成し、
前記適合情報生成部は、前記第１の相関関係と前記第２の相関関係との差が前記パラメータに含まれる閾値以下であるか否かを、前記暗号文の復号値が０であるか否かに基づいて判定する
付記４記載の情報処理システム。
【０３６６】
（付記６）前記認証データ生成部は、前記第２の相関関係及び前記公開鍵に基づいて前記認証データを生成し、
前記照合データ生成部を含むノードと、認証データ生成部を含むノードとが更に異なる
付記１乃至５のいずれか一つに記載の情報処理システム。
【０３６７】
（付記７）登録される情報である登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートを受信し、
認証される情報である認証情報に含まれる特徴間の第２の相関関係を含む認証データを受信し、
少なくとも前記テンプレートと前記認証データと前記公開鍵とに基づいて、前記第１の暗号化相関関係及び前記第２の相関関係に対する、前記暗号化方式に対応する演算結果である、暗号文を含む照合データを生成し、
前記照合データを、前記公開鍵に対応する秘密鍵を使用可能な、前記照合データと前記秘密鍵と前記第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータとに基づいて前記登録情報と前記認証情報の類似度を示す認証結果を出力する、検証部に送信する
認証方法。
【０３６８】
（付記８）前記第２の相関関係及び前記公開鍵に基づいて生成される前記認証データを受信する
付記７記載の認証方法。
【０３６９】
（付記９）登録される情報である登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートを受信する処理と、
認証される情報である認証情報に含まれる特徴間の第２の相関関係を含む認証データを受信する処理と、
前記テンプレートと前記認証データと前記公開鍵とに基づいて、前記第１の暗号化相関関係及び前記第２の相関関係に対する、前記暗号化方式に対応する演算結果である、暗号文を含む照合データを生成する処理と、
前記照合データを、前記公開鍵に対応する秘密鍵を使用可能な、前記照合データと前記秘密鍵と前記第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータとに基づいて前記登録情報と前記認証情報の類似度を示す認証結果を出力する、検証部に送信する処理と、をコンピュータに実行させる
プログラム。
【０３７０】
（付記１０）前記第２の相関関係及び前記公開鍵に基づいて生成される前記認証データを受信する処理を前記コンピュータに実行させる
付記９記載のプログラム。
【０３７１】
（付記１１）第１のノードが、登録される情報である登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートを受信し、
認証される情報である認証情報に含まれる特徴間の第２の相関関係を含む認証データを受信し、
少なくとも前記テンプレートと前記認証データと前記公開鍵とに基づいて、前記第１の暗号化相関関係及び前記第２の相関関係に対する、前記暗号化方式に対応する演算結果である、暗号文を含む照合データを生成し、
前記照合データを、前記公開鍵に対応する秘密鍵を使用可能な第２のノードに送信し、
第２のノードが、前記照合データと前記秘密鍵と前記第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータとに基づいて、前記登録情報と前記認証情報の類似度を示す、認証結果を出力する
認証方法。
【０３７２】
（付記１２）第１のノードが、前記第２の相関関係及び前記公開鍵に基づいて生成される前記認証データを受信する
付記１１記載の認証方法。
【０３７３】
（付記１３）登録される情報である登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートと、認証される情報である認証情報に含まれる特徴間の第２の相関関係を含む認証データと、前記公開鍵とに少なくとも基づいて生成される、前記第１の暗号化相関関係及び前記第２の相関関係に対する、前記暗号化方式に対応する演算結果である、暗号文を含む照合データと、
秘密鍵と、
第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータと、に基づいて前記登録情報と前記認証情報の類似度を示す適合情報に基づいて、前記登録情報と前記認証情報の類似度を示す、認証結果を出力する
認証方法。
【０３７４】
（付記１４）前記認証データは、前記第２の相関関係及び前記公開鍵に基づいて生成される
付記１３記載の認証方法。
【０３７５】
（付記１５）登録される情報である登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートを受信する処理と、
認証される情報である認証情報に含まれる特徴間の第２の相関関係を含む認証データを受信する処理と、
少なくとも前記テンプレートと前記認証データと前記公開鍵とに基づいて、前記第１の暗号化相関関係及び前記第２の相関関係に対する、前記暗号化方式に対応する演算結果である、暗号文を含む照合データを生成する処理と、
前記照合データを、前記公開鍵に対応する秘密鍵を使用可能な第２のコンピュータに送信する処理と、を第１のコンピュータに実行させ、
前記照合データと前記秘密鍵と前記第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータとに基づいて、前記登録情報と前記認証情報の類似度を示す、認証結果を出力する処理を第２のコンピュータに実行させる
プログラム。
【０３７６】
（付記１６）前記第２の相関関係及び前記公開鍵に基づいて生成される前記認証データを受信する処理を前記第１のコンピュータに実行させる
付記１１記載のプログラム。
【０３７７】
（付記１７）登録される情報である登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートと、認証される情報である認証情報に含まれる特徴間の第２の相関関係を含む認証データと、前記公開鍵とに少なくとも基づいて生成される、前記第１の暗号化相関関係及び前記第２の相関関係に対する、前記暗号化方式に対応する演算結果である、暗号文を含む照合データと、
秘密鍵と、
第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータと、に基づいて前記登録情報と前記認証情報の類似度を示す適合情報に基づいて、前記登録情報と前記認証情報の類似度を示す、認証結果を出力する処理をコンピュータに実行させる
プログラム。
【０３７８】
（付記１８）前記認証データは、前記第２の相関関係及び前記公開鍵に基づいて生成される
付記１７記載の認証方法。
【０３７９】
（付記１９）登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートを生成する登録部と、
前記テンプレートを記憶する記憶部と
認証される情報である認証情報に含まれる特徴間の第２の相関関係に基づいて認証データを生成する認証データ生成部と、
前記テンプレートと前記認証データと前記公開鍵とに基づいて、
前記第１の相関関係と前記第２の相関関係と間の関係を示す、前記暗号化方式に対応する演算結果である、暗号文を含む照合データを生成する照合データ生成部と、
前記照合データを、前記公開鍵に対応する秘密鍵を使用可能な、前記照合データと前記秘密鍵と前記第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータとに基づいて前記登録情報と前記認証情報の類似度を示す認証結果を出力する、検証部に送信する送信部と、を含む
ノード。
【０３８０】
（付記２０）前記認証データ生成部は、前記第２の相関関係及び前記公開鍵に基づいて前記認証データを生成する
付記１９記載のノード。
【０３８１】
（付記２１）登録される情報である登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートと、認証される情報である認証情報に含まれる特徴間の第２の相関関係を含む認証データと、前記公開鍵とに少なくとも基づいて生成される、前記第１の暗号化相関関係及び前記第２の相関関係に対する、前記暗号化方式に対応する演算結果である、暗号文を含む照合データを受信する受信部と
前記公開鍵と前記公開鍵に対応する秘密鍵とを生成する鍵生成部と、
前記照合データと前記秘密鍵と前記第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータとに基づいて、前記登録情報と前記認証情報の類似度を示す、適合情報を生成する適合情報生成部と、
前記適合情報に基づいて、認証結果を生成し、出力する適合検証部と、を含む
ノード。
【０３８２】
（付記２２）前記認証データは、前記第２の相関関係及び前記公開鍵に基づいて生成される
付記２１記載のノード。
【０３８３】
この出願は、２０１５年３月２３日に出願された日本出願特願２０１５−０５９０６４を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【０３８４】
１０    登録者装置
１１    登録比較表生成部
１２    比較表秘匿化準備部
１３    比較表秘匿化部
２０    認証者装置
２１    認証要求生成部
２２    認証比較表生成部
２４    照合データ生成部
３０    記憶装置
３１    テンプレート記憶部
３２    認証者用テンプレート生成部
４０    サーバ装置
４２    照合データ転送部
４３    適合表検証部
５０    補助装置
５１    鍵生成部
５２    秘密鍵記憶部
５３    照合データ復号部
５４    復号後照合データ検証部
５５    適合表生成部
１００    認証システム
１２０    認証者装置
１２３    認証比較表秘匿化部
１３０    記憶装置
１３２    登録テンプレート組送信部
１４０    サーバ装置
１４１    照合データ生成部
２００    認証システム
３００    認証システム
７００    コンピュータ
７０１    プロセッサ
７０２    記憶部
７０３    記憶装置
７０４    入力部
７０５    出力部
７０６    通信部
７０７    記録媒体
７１０    登録部
７２２    認証データ生成部
７３０    記憶部
７４２    適合検証部
７５０    適合情報生成部
７５１    鍵生成部
７７０    照合データ生成部
８０１    登録マニューシャ情報
８０２    登録生体識別子
８０３    認証マニューシャ情報
８０４    認証生体識別子
８０５    パラメータ
８０６    セキュリティパラメータ
８０８    公開鍵
８０９    秘密鍵
８１１    登録用比較表
８１２    秘匿用比較表
８１３    テンプレート
８２１    認証要求
８２２    認証用比較表
８２４    照合データ
８３２    認証者用テンプレート
８４３    認証結果
８５３    復号後照合データ
８５４    検証後照合データ
８５５    適合表
８１０３    登録テンプレート組
８１２３    認証データ
【図１】
2016152130.tif 000003
【図２】
2016152130.tif 000004
【図３】
2016152130.tif 000005
【図４】
2016152130.tif 000006
【図５】
2016152130.tif 000007
【図６】
2016152130.tif 000008
【図７】
2016152130.tif 000009
【図８】
2016152130.tif 000010
【図９】
2016152130.tif 000011
【図１０】
2016152130.tif 000012
【図１１】
2016152130.tif 000013
【図１２】
2016152130.tif 000014
【図１３】
2016152130.tif 000015
【図１４】
2016152130.tif 000016
【図１５】
2016152130.tif 000017
【図１６】
2016152130.tif 000018
【図１７】
2016152130.tif 000019
【図１８】
2016152130.tif 000020
【手続補正書】
【提出日】平成29年9月15日(2017.9.15)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】請求項９
【補正方法】変更
【補正の内容】
【請求項９】
登録される情報である登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートを受信する処理と、
認証される情報である認証情報に含まれる特徴間の第２の相関関係を含む認証データを受信する処理と、
前記テンプレートと前記認証データと前記公開鍵とに基づいて、前記第１の暗号化相関関係及び前記第２の相関関係に対する、前記暗号化方式に対応する演算結果である、暗号文を含む照合データを生成する処理と、
前記照合データを、前記公開鍵に対応する秘密鍵を使用可能な、前記照合データと前記秘密鍵と前記第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータとに基づいて前記登録情報と前記認証情報の類似度を示す認証結果を出力する、検証手段に送信する処理と、をコンピュータに実行させるプログラム。
【手続補正２】
【補正対象書類名】特許請求の範囲
【補正対象項目名】請求項１０
【補正方法】変更
【補正の内容】
【請求項１０】
前記第２の相関関係及び前記公開鍵に基づいて生成される前記認証データを受信する処理を前記コンピュータに実行させる請求項９記載のプログラム。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００３６
【補正方法】変更
【補正の内容】
【００３６】
本発明のプログラムの一様態は、登録される情報である登録情報に含まれる特徴間の第１の相関関係と、特定の暗号化方式の公開鍵とに基づいて、前記第１の相関関係が暗号化された第１の暗号化相関関係を含むテンプレートを受信する処理と、認証される情報である認証情報に含まれる特徴間の第２の相関関係を含む認証データを受信する処理と、前記テンプレートと前記認証データと前記公開鍵とに基づいて、前記第１の暗号化相関関係及び前記第２の相関関係に対する、前記暗号化方式に対応する演算結果である、暗号文を含む照合データを生成する処理と、前記照合データを、前記公開鍵に対応する秘密鍵を使用可能な、前記照合データと前記秘密鍵と前記第１の相関関係及び前記第２の相関関係に関する閾値を少なくとも含むパラメータとに基づいて前記登録情報と前記認証情報の類似度を示す認証結果を出力する検証手段に送信する処理と、をコンピュータに実行させる。
【国際調査報告】
2016152130.tif 000021
2016152130.tif 000022
2016152130.tif 000023
2016152130.tif 000024