(57)【特許請求の範囲】
【請求項１】
トランザクションプロバイダにおいてユーザトランザクションを承認する方法において、
ａ）ユーザの１つ以上の変更不能なユーザ識別特徴およびトランザクション情報を捕捉し、トランザクションセンタへ、好ましくは前記トランザクションプロバイダ経由で、提供するステップと、
ｂ）前記トランザクションプロバイダが、前記トランザクション情報に基づいて、チャレンジを提供し、好ましくはブロードキャストするステップと、
ｃ）１以上のユーザが前記チャレンジを受信した後、該ユーザの１以上が、それぞれのユーザトランザクションキーで暗号化されたユーザ位置情報等の対応するユーザメタデータを含むレスポンスを送信するステップであって、前記ユーザトランザクションキーは、それぞれのユーザの１つ以上の変更不能なユーザ識別特徴と、好ましくは、前記トランザクションセンタに登録されており当該ユーザによって指定される１つ以上のトランザクション付随手段とに基づいて生成され提供された、レスポンスを送信するステップと、
ｄ）前記トランザクションセンタにおいて前記暗号化されたユーザメタデータを復号するステップと、
ｅ）前記復号されたレスポンスの情報と、ステップａ）に従って提供された情報とに基づいてユーザを識別するステップと、
ｆ）識別後、前記ユーザトランザクションを承認するステップと
を備えたことを特徴とする、トランザクションプロバイダにおいてユーザトランザクションを承認する方法。
【請求項２】
前記トランザクションセンタと前記トランザクションプロバイダとの間のデータ通信が暗号化されることを特徴とする請求項１に記載の方法。
【請求項３】
前記ユーザ識別特徴を提供するためにユーザの顔情報が捕捉されることを特徴とする請求項１または２に記載の方法。
【請求項４】
ユーザのユーザデバイスと前記トランザクションプロバイダとの間の通信のために短距離通信方法が使用され、好ましくは該短距離通信方法がＢｌｕｅｔｏｏｔｈに基づくことを特徴とする請求項１ないし３のいずれか１項に記載の方法。
【請求項５】
前記トランザクションセンタがステップａ）に従って前記１つ以上の変更不能なユーザ識別特徴およびトランザクション情報を受信した後、前記トランザクションプロバイダが、前記チャレンジを提供するように起動されることを特徴とする請求項１ないし４のいずれか１項に記載の方法。
【請求項６】
前記１つ以上の変更不能なユーザ識別特徴を提供するために、近距離記録手段、好ましくはカメラが使用され、該カメラから所定距離内のユーザを撮影することを特徴とする請求項１ないし５のいずれか１項に記載の方法。
【請求項７】
ローカルな地理的位置情報および／またはローカルなモバイル通信ネットワーク情報および／またはタイミング情報が判定され、ステップｃ）による前記ユーザメタデータに含められることを特徴とする請求項１ないし６のいずれか１項に記載の方法。
【請求項８】
照合は、受信された復号されたレスポンスの情報とステップａ）に従って提供された情報とが、位置および／またはタイミング情報に対する所定しきい値の範囲内かどうかをチェックすることを含むことを特徴とする請求項１ないし７のいずれか１項に記載の方法。
【請求項９】
照合は、ステップｃ）で受信されたレスポンスに従ってユーザ候補リストを生成し、前記１以上のユーザの登録された情報に従って前記候補リストからユーザを識別することを含むことを特徴とする請求項１ないし８のいずれか１項に記載の方法。
【請求項１０】
ステップｃ）による前記レスポンスが前記トランザクションセンタへ直接に送信されることを特徴とする請求項１ないし９のいずれか１項に記載の方法。
【請求項１１】
前記ユーザ位置情報等のユーザメタデータを分析することにより、特にユーザ位置情報が利用不能な場合に、詐欺が判定されることを特徴とする請求項１ないし１０のいずれか１項に記載の方法。
【請求項１２】
トランザクションプロバイダにおいてユーザトランザクションを承認するシステムであって、好ましくは、請求項１ないし１１のいずれか１項に記載の方法を実行するシステムにおいて、
ユーザの１つ以上の変更不能なユーザ識別特徴およびトランザクション情報を捕捉し、トランザクションセンタへ、好ましくは前記トランザクションプロバイダ経由で、提供するように動作可能な捕捉手段と、
前記トランザクションプロバイダが、前記トランザクション情報に基づいて、チャレンジを提供し、好ましくはブロードキャストするように動作可能なチャレンジ手段と、
１以上のユーザが前記チャレンジを受信した後、該ユーザの１以上が、それぞれのユーザトランザクションキーで暗号化されたユーザ位置情報等の対応するユーザメタデータを含むレスポンスを送信するように動作可能なレスポンス手段であって、前記ユーザトランザクションキーは、それぞれのユーザの１つ以上の変更不能なユーザ識別特徴と、好ましくは、前記トランザクションセンタに登録されており当該ユーザによって指定される１つ以上のトランザクション付随手段とに基づいて生成され提供された、レスポンス手段と、
前記トランザクションセンタにおいて前記暗号化されたユーザ位置情報を復号するように動作可能な復号手段と、
前記復号されたレスポンスの情報と、前記捕捉手段によって提供された情報とに基づいてユーザを識別するように動作可能な照合手段と、
前記照合手段による識別後、前記ユーザトランザクションを承認するように動作可能な承認手段と
を備えたことを特徴とする、トランザクションプロバイダにおいてユーザトランザクションを承認するシステム。
【請求項１３】
商店でユーザの支払の承認を行うための、請求項１ないし１１のいずれか１項に記載の方法および／または請求項１２に記載のシステムの利用。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トランザクションプロバイダにおいてユーザトランザクションを承認する方法に関する。
【０００２】
また、本発明は、トランザクションプロバイダにおいてユーザトランザクションを承認するシステムであって、好ましくは、請求項１ないし１１のいずれか１項に記載の方法を実行するシステムに関する。
【０００３】
また、本発明は、請求項１ないし１１のいずれか１項に記載の方法の利用に関する。
【背景技術】
【０００４】
本発明は、概して任意のユーザトランザクションに適用可能であるが、消費財に対する支払の形態のユーザトランザクションに関して説明する。
【０００５】
従来、消費財に対する支払は例えば現金またはクレジットカードで実行可能であり、現在では、消費財に対する支払のためにＮＦＣに対応した支払も使用されている。しかしこれはユーザインタラクションを必要とする。例えば、ユーザがクレジットカードを読取機に通し、署名等をしなければならない。例えばレストランでの食事や自動車の購入等の低速のサービス時間の状況においては、長時間のユーザインタラクションが容認されている。
【０００６】
しかし、例えば自動販売機での水のボトル１本の購入、地下鉄や列車の切符の購入、ガソリンスタンドでのガソリンの購入等の高速な処理時間の状況においてユーザが商品を購入したいとき、ユーザは、カードや財布を取り出し、ＰＩＮ番号や署名を提示する等の時間を損失する。さらなる問題として、ユーザは、商店にある汎用デバイスを信頼しない。というのは、そのようなデバイスは、もはや見慣れた信頼されている売場（ＰＯＳ）端末ではないからである。このようなデバイスは、公衆にさらされ、いつ誰によって侵入されるか知れない。さらにユーザプライバシーも侵害されるおそれがある。
【０００７】
バイオメトリクス（生体認証、生体情報）に基づく従来の支払方法（例えば非特許文献１、非特許文献２または非特許文献３参照）は高価であり、追加的なユーザインタラクションを必要とする。また、それらの方法は、反射攻撃（replay attack）に対して安全でない。
【先行技術文献】
【非特許文献】
【０００８】
【非特許文献１】"Worlds' first face recognition payment system", 15 July 2013, http://uniqul.com/news/17-launch
【非特許文献２】"Discover trials Natural Security biometric payments", 5 November 2012, http://www.finextra.com/News/FullStory.aspx?newsitemid=24250
【非特許文献３】"UniCredit to roll out biometric payment system", 5 March 2013, http://www.fin-extra.com/News/FullStory.aspx?newitemid=24602
【発明の概要】
【発明が解決しようとする課題】
【０００９】
したがって、本発明の目的は、安全であって、反射攻撃に耐性のある、トランザクションプロバイダにおいてユーザトランザクションを承認する方法およびシステムを提供することである。
【００１０】
本発明のさらなる目的は、追加的なユーザインタラクションが不要な、または、最小限の追加的なユーザインタラクションしか必要としない、トランザクションプロバイダにおいてユーザトランザクションを承認する方法およびシステムを提供することである。
【００１１】
本発明のさらなる目的は、実施が容易で使いやすい、トランザクションプロバイダにおいてユーザトランザクションを承認する方法およびシステムを提供することである。
【００１２】
本発明のさらなる目的は、ユーザトランザクションの承認のためのサービス時間の高速化が可能な、トランザクションプロバイダにおいてユーザトランザクションを承認する方法およびシステムを提供することである。
【課題を解決するための手段】
【００１３】
上記の目的は、請求項１の方法および請求項１２のシステムによって達成される。
【００１４】
請求項１には、トランザクションプロバイダにおいてユーザトランザクションを承認する方法が規定される。
【００１５】
請求項１に記載の通り、本方法は、
ａ）ユーザの１つ以上の変更不能なユーザ識別特徴およびトランザクション情報を捕捉し、トランザクションセンタへ、好ましくは前記トランザクションプロバイダ経由で、提供するステップと、
ｂ）前記トランザクションプロバイダが、前記トランザクション情報に基づいて、チャレンジを提供し、好ましくはブロードキャストするステップと、
ｃ）１以上のユーザが前記チャレンジを受信した後、該ユーザの１以上が、それぞれのユーザトランザクションキーで暗号化されたユーザ位置情報等の対応するユーザメタデータを含むレスポンスを送信するステップであって、前記ユーザトランザクションキーは、それぞれのユーザの１つ以上の変更不能なユーザ識別特徴と、好ましくは、前記トランザクションセンタに登録されており当該ユーザによって指定される１つ以上のトランザクション付随手段とに基づいて生成され提供された、レスポンスを送信するステップと、
ｄ）前記トランザクションセンタにおいて前記暗号化されたユーザメタデータを復号するステップと、
ｅ）前記復号されたレスポンスの情報を、ステップａ）に従って提供された情報と照合するステップと、
ｆ）照合後、前記ユーザトランザクションを承認するステップと
を備えたことを特徴とする。
【００１６】
請求項１２には、トランザクションプロバイダにおいてユーザトランザクションを承認するシステムであって、好ましくは、請求項１ないし１１のいずれか１項に記載の方法を実行するシステムが規定される。
【００１７】
請求項１２に記載の通り、本システムは、
ユーザの１つ以上の変更不能なユーザ識別特徴およびトランザクション情報を捕捉し、トランザクションセンタへ、好ましくは前記トランザクションプロバイダ経由で、提供するように動作可能な捕捉手段と、
前記トランザクションプロバイダが、前記トランザクション情報に基づいて、チャレンジを提供し、好ましくはブロードキャストするように動作可能なチャレンジ手段と、
１以上のユーザが前記チャレンジを受信した後、該ユーザの１以上が、それぞれのユーザトランザクションキーで暗号化されたユーザ位置情報等の対応するユーザメタデータを含むレスポンスを送信するように動作可能なレスポンス手段であって、前記ユーザトランザクションキーは、それぞれのユーザの１つ以上の変更不能なユーザ識別特徴と、好ましくは、前記トランザクションセンタに登録されており当該ユーザによって指定される１つ以上のトランザクション付随手段とに基づいて生成され提供された、レスポンス手段と、
前記トランザクションセンタにおいて前記暗号化されたユーザ位置情報を復号するように動作可能な復号手段と、
前記復号されたレスポンスの情報を、前記捕捉手段によって提供された情報と照合するように動作可能な照合手段と、
照合後、前記ユーザトランザクションを承認するように動作可能な承認手段と
を備えたことを特徴とする。
【００１８】
請求項１３には、商店でユーザの支払の承認を行うための、請求項１ないし１１のいずれか１項に記載の方法および／または請求項１２に記載のシステムの利用が規定される。
【００１９】
本発明によって認識されたこととして、反射攻撃への耐性および汎用デバイスが危険にさらされることに対する耐性が得られる。
【００２０】
また、本発明によって認識されたこととして、バイオメトリクス、位置、トランザクション等のユーザ個人情報が第三者に漏洩しないため、プライバシーが保障される。
【００２１】
また、本発明によって認識されたこととして、ユーザのメタデータ情報を使用することにより、誤識別が回避され、あるいは少なくとも大幅に低減される。
【００２２】
また、本発明によって認識されたこととして、ユーザトランザクションを承認するためのユーザの識別が高速化される。
【００２３】
また、本発明によって認識されたこととして、煩雑で高価な暗号方式が不要なため、効率が向上する。
【００２４】
また、本発明によって認識されたこととして、エネルギー使用量が低減され、特に、例えばエネルギーが制限されたデバイスのバッテリが節約される。
【００２５】
また、本発明によって認識されたこととして、トランザクションプロセスにおいて最小限のユーザインタラクションしか必要でないため、使いやすさが得られる。また、高機能のモバイルデバイスを備えていないユーザも、本発明による方法およびシステムを利用することができる。
【００２６】
さらなる特徴、利点および好ましい実施形態は、後続の従属請求項に記載される。
【００２７】
好ましい実施形態によれば、前記トランザクションセンタと前記トランザクションプロバイダとの間のデータ通信が暗号化される。これにより、トランザクションセンタとトランザクションプロバイダとの間でデータを交換あるいは送信する際の安全性が向上する。
【００２８】
さらに好ましい実施形態によれば、前記ユーザ識別特徴を提供するためにユーザの顔情報が捕捉される。ユーザの顔の１つ以上の顔特徴を捕捉することにより、生体データが取得される。これにより、ユーザインタラクションが最小化される。というのは、顔情報は、例えばユーザが商店内の机の前等の位置に立っているときに受動的に取得可能だからである。この情報を提供するために署名等は不要である。したがって、使いやすさが得られる。顔生体情報は各ユーザに固有であるので、安全性も向上する。
【００２９】
さらに好ましい実施形態によれば、ユーザのユーザデバイスと前記トランザクションプロバイダとの間の通信のために短距離通信方法が使用され、好ましくはこの短距離通信方法はＢｌｕｅｔｏｏｔｈ（登録商標、以下同じ。)に基づく。短距離通信方法は、安全性の向上した、位置が限定された通信チャネルを提供する。すなわち、データ通信は、ユーザあるいはトランザクションプロバイダの位置の周りの近距離に限定される。また、短距離通信方法は、大規模なハードウェアを使用せず、高速で効率的な通信が可能である。特に、短距離通信方法をＢｌｕｅｔｏｏｔｈとした場合、スマートフォン等のほとんどのモバイルユーザデバイスは現在Ｂｌｕｅｔｏｏｔｈを装備しているので、この方法の広範囲で安全な使用が可能となる。
【００３０】
さらに好ましい実施形態によれば、前記トランザクションセンタがステップａ）に従って前記１つ以上の変更不能なユーザ識別特徴およびトランザクション情報を受信した後、前記トランザクションプロバイダが、前記チャレンジを提供するように起動される。これにより、トランザクションプロバイダによるチャレンジの提供をトランザクションセンタが開始させることが容易に可能となる。こうして、自動的で高速なチャレンジ送信が可能となる。
【００３１】
さらに好ましい実施形態によれば、前記１つ以上の変更不能なユーザ識別特徴を提供するために、近距離記録手段、好ましくはカメラが使用され、該カメラから所定距離内のユーザを撮影する。近距離記録手段は、例えば商店内の他のユーザのプライバシーを保障する。というのは、前記１つ以上の変更不能なユーザ識別特徴が、該近距離記録手段の周りの近距離内でのみ判定されるからである。すなわち、この近距離内のユーザのみが記録され、あるいは、そのユーザの顔が捕捉され、対応する１つ以上の変更不能なユーザ識別特徴が、トランザクションを承認するためにトランザクションセンタに提供される。周囲の他のユーザは記録されない。
【００３２】
さらに好ましい実施形態によれば、ローカルな地理的位置情報および／またはローカルなモバイル通信ネットワーク情報および／またはタイミング情報が判定され、ステップｃ）による前記ユーザメタデータに含められる。地理的位置情報および／またはローカルなモバイル通信ネットワーク情報および／またはタイミング情報は、前記１つ以上の変更不能なユーザ識別特徴に基づく複雑な生体ユーザ認識アルゴリズムを使用せずに、安全性や反射攻撃に対する耐性を容易に提供する。例えば、指紋生体情報を用いる際には複雑な生体認識を行わなければならないし、トランザクションが写真や仮面を用いて実行される可能性もある。また、指紋を提示するためには長時間のユーザインタラクションが必要であることはいうまでもない。
【００３３】
さらに好ましい実施形態によれば、照合は、受信された復号されたレスポンスの情報とステップａ）に従って提供された情報とが、位置および／またはタイミング情報に対する所定しきい値の範囲内かどうかをチェックすることを含む。この場合、トランザクションセンタは、照合ステップで非常に高速に、識別のための可能性のあるユーザ数を縮小することができ、ユーザトランザクションが承認されるか否かを決定するためのユーザの識別を高速かつ確実にすることができる。
【００３４】
さらに好ましい実施形態によれば、照合は、ステップｃ）で受信されたレスポンスに従ってユーザ候補リストを生成し、前記１以上のユーザの登録された情報に従って前記候補リストからユーザを識別することを含む。これにより、ユーザトランザクションの承認の容易な実施と、そのための容易かつ高速なユーザの識別が可能となる。
【００３５】
さらに好ましい実施形態によれば、ステップｃ）による前記レスポンスが前記トランザクションセンタへ直接に送信される。これにより、例えば共通の通信方法の欠如によりユーザデバイスからトランザクションプロバイダへの通信が不可能な場合であっても、トランザクションがトランザクションセンタによって承認されることが可能となる。したがって、フレキシビリティが向上する。
【００３６】
さらに好ましい実施形態によれば、前記ユーザ位置情報等のユーザメタデータを分析することにより、特にユーザ位置情報が利用不能な場合に、詐欺が判定される。これにより、詐欺を検出し判定することが容易に可能となる。
【００３７】
本発明を好ましい態様で実施するにはいくつもの可能性がある。このためには、一方で請求項１に従属する諸請求項を参照しつつ、他方で図面により例示された本発明の好ましい実施形態についての以下の説明を参照されたい。図面を用いて本発明の好ましい実施形態を説明する際には、本発明の教示による好ましい実施形態一般およびその変形例について説明する。
【図面の簡単な説明】
【００３８】
【図１】本発明の第１の実施形態によるシステムおよび方法を示す図である。
【図２】本発明の第２の実施形態による方法のステップを示す図である。
【図３】本発明の第３の実施形態による方法の上位ステップを示す図である。
【図４】本発明の第４の実施形態による方法のステップの一部を示す図である。
【図５】本発明の第５の実施形態による方法のステップの一部を示す図である。
【図６】本発明の第６の実施形態による方法のステップの一部を示す図である。
【発明を実施するための形態】
【００３９】
図１は、本発明の第１の実施形態によるシステムおよび方法を示している。
【００４０】
図１において、ユーザ２は、商人の商店４内のカメラ７の前に立っている。カメラ７は、ユーザ２の顔写真を撮影する（参照符号８）。すなわち、ユーザ２すなわち顧客は、所望のユーザトランザクションに対する同意を示して、カメラ７の前で生体情報を提示する。提示された生体情報が、特に後の識別のために、十分であるか否かをチェックするために、商店４内のディスプレイ６が使用されてもよい。十分でない場合、顧客すなわちユーザ２は、カメラ７の前で自己の生体情報を再び提示しなければならない。そして、商人は、ユーザ２が承認を希望するトランザクションのトランザクション情報とともに、捕捉した顔写真を含むメッセージＣｏｎｓｅｎｔを、支払センタ５へ送信する。メッセージＣｏｎｓｅｎｔは、さらに、商人識別情報と、商人の通信デバイスの署名とを含む。メッセージＣｏｎｓｅｎｔは、さらに、商人４と支払センタ５との間で共有されている共有キーＫｍで暗号化されたデータを含む。共有キーＫｍは、カメラ７で撮影したユーザ２の顔の画像、トランザクション細目、およびタイムスタンプを暗号化するために使用される。上記ですでに述べたように、このメッセージをＣｏｎｓｅｎｔと呼び、図１では参照符号１０で表している。一方で、商人４は、チャレンジ手段９ａにより、短距離（例えばＢｌｕｅｔｏｏｔｈ）通信デバイスの到達範囲内のユーザデバイス３へチャレンジをブロードキャスト（９）している。チャレンジは、特に、トランザクションＩＤを含む。トランザクションＩＤは、トランザクションデータのハッシュ値として定義されてもよい。
【００４１】
チャレンジ後、ユーザ２のモバイルデバイス３を含むユーザデバイスが、対応するユーザのクレデンシャルで暗号化された自己のローカル情報を商人４へ返送する。そして、このいわゆるビーコンあるいはビーコンメッセージ（参照符号１１で表す）は、好ましくは商人４経由で、Ｃｏｎｓｅｎｔ１０とともに支払センタ５へ転送される。ビーコン１１は、当該ユーザのユーザＩＤと、ユーザキーＫｕで暗号化された情報とを含む。ユーザキーＫｕは、ユーザ２と支払センタ５との間で共有されている。この情報は、ユーザＩＤ、ユーザの位置、対応するタイムスタンプおよび商人のチャレンジから取得されたトランザクションＩＤを含む。
【００４２】
そして、支払センタ５は、復号手段５ａにより、Ｃｏｎｓｅｎｔ１０と、トランザクションＩＤによって対にされた受信されたすべてのビーコン１１とを復号し、位置およびタイムスタンプが例えばメッセージＣｏｎｓｅｎｔ１０からの情報によるしきい値の範囲内にあるビーコン１１を選び出す。そして、受信された画像データに対する顔識別プロセスを実行するために、ユーザＩＤの候補リストが生成される。好ましくは、高々１つの有効な候補が求められ、トランザクション認証プロセスのために使用される。照合手段５ｂを使用することによってユーザＩＤを照合した後、支払センタ５における対応するユーザのアカウントが課金され、承認手段５ｃによって、トランザクション情報がそのユーザのユーザデバイス３に提供される（参照符号１２）。識別プロセスが失敗した場合、支払センタ５は、他の入力生体情報に一致するものを見つけるために、データベース全体を検索する。
【００４３】
位置情報を提供するビーコン１１は、トランザクションの安全性およびパフォーマンスを向上させる。すなわち、ビーコン１１により、トランザクションが行われる時に商店内に所在する選別された候補リストが得られる。したがって、識別プロセスは、まず候補リストに対して実行される。これは、データベース全体をチェックするよりもはるかに小さいデータセットである。さらに、トランザクションプロセス中のユーザの位置が存在しない場合には警告を発してもよい。これは、詐欺検出のために使用可能である。
【００４４】
図２は、本発明の第２の実施形態による方法のステップを示している。
【００４５】
図２において、第１のステップａ）は、１つ以上の変更不能なユーザ識別特徴およびトランザクション情報を捕捉し、トランザクションセンタへ、好ましくは前記トランザクションプロバイダ経由で、提供することにより実行される。
【００４６】
第２のステップｂ）は、前記トランザクションプロバイダが、前記トランザクション情報に基づいて、チャレンジを提供し、好ましくはブロードキャストすることにより実行される。
【００４７】
第３のステップｃ）は、１以上のユーザが前記チャレンジを受信した後、該ユーザの１以上が、それぞれのユーザトランザクションキーで暗号化されたユーザ位置情報等の対応するユーザメタデータを含むレスポンスを送信することにより実行される。前記ユーザトランザクションキーは、それぞれのユーザの１つ以上の変更不能なユーザ識別特徴と、好ましくは、前記トランザクションセンタに登録されており当該ユーザによって指定される１つ以上のトランザクション付随手段とに基づいて生成され提供されたものである。
【００４８】
第４のステップｄ）は、前記トランザクションセンタにおいて前記暗号化されたユーザメタデータを復号することにより実行される。
【００４９】
第５のステップｅ）は、前記復号されたレスポンスの情報を、ステップａ）に従って提供された情報と照合することにより実行される。
【００５０】
第６のステップｆ）は、照合後、前記ユーザトランザクションを承認することにより実行される。
【００５１】
図３は、本発明の第３の実施形態による方法の上位ステップを示している。
【００５２】
図３には、登録Ｒと、支払Ｐの形態のトランザクションとの上位ステップが示されている。
【００５３】
登録段階Ｒにおいて、ユーザ２は支払センタ５に登録を行う。ユーザ２は、支払センタ５に保存されて後で顔識別のために使用される自己の画像を提供する。このとき、ユーザ２は、自己のトランザクション細目（例えばクレジットカード細目や銀行口座細目）も登録し、支払センタ５との間で使用される共有暗号化キーを設定する。そして、ユーザ２は、自己のユーザデバイス３にインストールするアプリケーションをダウンロードしてもよい。これは、特に、設定された共有暗号化キーがあらかじめロードされている。さらに、ユーザ２は、トランザクションのために使用される、または、ある特定のトランザクションに限定される、特殊目的デバイス３を入手することも可能である。
【００５４】
トランザクション段階Ｐ（ここでは支払段階）において、ユーザ２は、支払に対する同意の一形態として、商店のカメラの付近に立つ。ユーザ２によって支払われるべき品目の商人は、ユーザ２によって実行されるトランザクションの細目をディスプレイ６（例えば、ドットマトリクスディスプレイやＬＣＤディスプレイ６）に表示してもよい。例えば、表示されるトランザクション細目あるいはトランザクション情報は、支払対象の数量、商人の識別情報、商品の情報等を含む。また、ユーザ２は、安全な形で位置情報を提供することにより、支払センタ５がこの情報を確認のために使用できるようにする。特に確認は、ユーザが自己のトランザクションを実行しようとするのと同時に、ユーザ２あるいはユーザデバイス３が商店内に所在することに基づく。位置情報は、ユーザインタラクションなしにユーザ２のモバイルデバイス３により、および／または、位置情報を送信する特殊目的デバイスを使用することにより、送信されることが可能である。
【００５５】
したがって、登録プロセスＲは以下のように実行可能である。
１）ユーザが支払センタへ行き、自己の顔生体情報および銀行口座情報を登録する。
２）各ユーザは、自己のモバイルデバイスにアプリケーションをインストールする。オプションとして、自己の電話機がＢｌｕｅｔｏｏｔｈを備えていない場合、Ｂｌｕｅｔｏｏｔｈ対応デバイスを入手することもできる。
３）支払センタは、カメラの至近距離でのみ、顔形を保存する。
４）ユーザと支払センタとの間の共有クレデンシャルが登録プロセス中に生成され、ユーザの仮名ユーザＩＤとともにユーザのデバイスにインストールされる。
【００５６】
また、トランザクションプロセスＰは以下のように実行可能である。
１）ユーザは、商店でトランザクションを承認したいとき、同意した場所に立ち、カメラが写真を撮影できるようにする。写真は、トランザクション情報とともに、Ｃｏｎｓｅｎｔとして支払センタへ送信される。
２）一方で、商人のＰＯＳが、短距離Ｂｌｕｅｔｏｏｔｈを用いて、到達距離内のユーザデバイスへチャレンジをブロードキャストするように起動される。
３）チャレンジ後、ユーザが保持しているデバイスが、自己の位置およびタイムスタンプであるビーコンを商人のＰＯＳへ返送する。ビーコンは、ユーザにあらかじめ割り当てられたクレデンシャルで暗号化されている。そして、ビーコンは、Ｃｏｎｓｅｎｔとともに支払センタへ転送される。
４）支払センタが、Ｃｏｎｓｅｎｔおよびビーコンのリストを復号し、候補リストを生成する。そして、ユーザが候補リストから識別され、それにより、識別されたユーザが課金される。
５）最後に、該当する場合、トランザクション情報が、識別されたユーザへ送信される。
【００５７】
図４は、本発明の第４の実施形態による方法のステップの一部を示している。
【００５８】
図４には、登録段階Ｒ中のステップが、より詳細に示されている。
【００５９】
第１のステップ１Ｒで、ユーザが支払センタ５へ行き、自己の顔生体情報および銀行口座情報を登録する。
【００６０】
第２のステップ２Ｒで、ユーザは、自己のモバイルデバイスにアプリケーションをインストールする。オプションとして、ユーザのモバイルデバイスがＢｌｕｅｔｏｏｔｈに対応していない場合、Ｂｌｕｅｔｏｏｔｈ対応デバイスを取得する。
【００６１】
第３のステップ３Ｒで、支払センタ５は、カメラ７の至近距離で、ユーザ２の顔形を保存する。すべてのクラシファイアおよび学習アルゴリズムは、各ユーザ２の顔形テンプレートを構築するために、このような近接した顔形に基づくことが可能である。これにより、支払時には、カメラ７に近い顔形のみが、支払センタ５によって受理されるようにすることが可能である。ユーザ２がこのような接写の顔写真の撮影に合意する場合、これは、ユーザが実行しようとしているトランザクションに対する承認とみなされると仮定する。このような写真は、ユーザ２が支払に合意した場合にのみ撮影することができる。
【００６２】
第４のステップ４Ｒで、ユーザ２と支払センタ５との間の共有キーＫｕが登録段階Ｒ中に生成され、ユーザの仮名ユーザ識別情報ｕｉｄとともにユーザのモバイルデバイス３にインストールされる。
【００６３】
登録段階Ｒが終了した後、ユーザ２は、商人に対して顔認証支払を行い、「顔で」支払をすることができる。以下、商人は、トランザクション情報を表示するためのディスプレイ６と、理想的には明確な写真撮影およびトランザクション承認のための明確な焦点を有するカメラ７とを備えたＰＯＳデバイスを有すると仮定する。特に、これは、ユーザ２が顔形捕捉および確認を指示することができるフロントカメラを備えたディスプレイ、または、完全な顔形捕捉のためにあごを載せる台を前方に備えたカメラの形態で提供されてもよい。また、ユーザは、ＧＰＳおよび／または他の位置決定方法と、Ｂｌｕｅｔｏｏｔｈ、ＷｉＦｉ、３Ｇ等の通信機能のような短距離通信または位置限定チャネルとに対応したモバイルデバイスを有すると仮定する。ユーザは、自己または他のモバイル事業者の位置決定サービスによって位置決定されてもよい。
【００６４】
例えば、短距離通信を提供する短距離通信インタフェースが、例えばモバイルデバイスのバッテリを節約するために常時オンではない場合、モバイルデバイスは、ユーザ２が顔認証支払に対応した商店の通信距離内に位置するとき（これは、商店のＷｉＦｉのＳＳＩＤをスキャンすることによって、またはＧＰＳおよび／または位置情報を用いて、判定することができる）にはいつでも、Ｂｌｕｅｔｏｏｔｈ等の短距離通信インタフェースが起動されてオンに切り替わり、通信のためにアクティブになるように設定可能である。
【００６５】
図５には、支払の形態で、詳細な支払トランザクションプロセスが示されている。
【００６６】
図５は、本発明の第５の実施形態による方法のステップの一部を示している。
【００６７】
第１のステップ１Ｐで、ユーザがトランザクションを承認したいとき、ユーザ２は、商店内の同意した場所に立ち、カメラ７が写真を撮影できるようにする。カメラ７の写真は、トランザクション情報とともに、次の形態で支払センタ５へ送信される。
Ｃｏｎｓｅｎｔ＝〈ｍｉｄ，ＥｎｃＫｍ（Ｉｍｇ，ＴｒａｎｓＤａｔａ，ｔｓｃ），Ｓｉｇｍ〉
ただし、ｍｉｄは商人ＩＤ、Ｋｍは商人と支払センタ５との間の共有キー、Ｉｍｇはカメラ７によって撮影された顔の画像、ＴｒａｎｓＤａｔａはトランザクション細目、ｔｓｃはタイムスタンプ、Ｓｉｇｍはメッセージに対する商人デバイス４の署名である。
【００６８】
第２のステップ２Ｐで、商人のＰＯＳが、Ｂｌｕｅｔｏｏｔｈ等の短距離通信方法を用いて、到達距離内、例えば、商店の大きさ等に対応する到達距離内のユーザデバイス３へチャレンジをブロードキャストするように起動される。チャレンジは次の形態で提供される。
チャレンジ＝ｔｉｄ＝Ｈ（ＴｒａｎｓＤａｔａ）
ただし、ｔｉｄはトランザクションデータのハッシュ値として定義されるトランザクションＩＤである。
【００６９】
第３のステップ３Ｐで、チャレンジ後、モバイルユーザデバイス３上の支払アプリケーションが、対応するユーザクレデンシャルで暗号化されたモバイルデバイス３の位置ビーコンを商人のＰＯＳ４へ返送する。そして、ビーコン１１は、Ｃｏｎｓｅｎｔ１０とともに支払センタ５へ転送される。ビーコン１１は次の形態で提供される。
ビーコン＝〈ｕｉｄ，ＥｎｃＫｍ（ｕｉｄ，ｌｏｃ，ｔｓ，ｔｉｄ）〉
ただし、ｌｏｃはユーザデバイス３の地理的位置、ｔｓはタイムスタンプである。
【００７０】
第４のステップ４Ｐで、支払センタ５が、Ｃｏｎｓｅｎｔメッセージ１０と、トランザクションＩＤによって対にされたビーコン１１のリストとを復号し、位置およびタイムスタンプｔｓが、Ｃｏｎｓｅｎｔメッセージ１０からの情報に基づくしきい値の範囲内にあるビーコン１１を選び出す。
【００７１】
そして、写真データＩｍｇに対する顔識別を実行するためにユーザＩＤの候補リスト（理想的には高々１つの有効な候補）を生成する。そして、認証プロセスを実行する。ユーザＩＤの照合後、支払センタ５における対応するユーザのアカウントが課金され、トランザクション情報がそのユーザのモバイルデバイス３へ送信される。識別プロセスが失敗した場合、支払センタ５は、写真に一致する入力生体情報を見つけるために、データベース全体を検索してもよい。
【００７２】
Ｂｌｕｅｔｏｏｔｈ、ＷｉＦｉ等の上記の短距離通信は、小電力対応のアクセスポイントを使用することによって提供されてもよい。例えば、このようなアクセスポイントは、到達距離が限定されていてもよいし、例えば商人４の商店の小さいエリア内でのみ短距離通信を提供してもよい。
【００７３】
図６は、本発明の第６の実施形態による方法のステップの一部を示している。
【００７４】
図６のステップは、短距離通信方法が利用可能でない場合に実行される。この場合、例えばユーザ２のモバイルネットワーク事業者経由で、支払センタ５への直接のチャネルを使用するオプションが提供される。
【００７５】
第１のステップ１′Ｐで、ユーザ２が顔認証対応の商店の通信範囲内に位置するとき、ユーザ２の対応するモバイルデバイス３が、支払センタ５に自己の最新の地理的位置を登録するために、次のビーコン１１を送信する。
ビーコン＝〈ｕｉｄ，ＥｎｃＫｍ（ｕｉｄ，ｌｏｃ，ｔｓ）〉
ただし、ｌｏｃは対応するユーザデバイス３の地理的位置、ｔｓはタイムスタンプである。別法として、位置ｌｏｃは、モバイルネットワーク事業者によって直接に支払センタ５に提供されることも可能である。
【００７６】
第２のステップ２′Ｐで、ユーザのうちの一人が、同意した場所に移動し、カメラ７に対して、ユーザトランザクションを承認するための写真を撮影するように指示する。写真は、トランザクション情報とともに、次のＣｏｎｓｅｎｔメッセージ１０の形態で支払センタ５へ送信される。
Ｃｏｎｓｅｎｔ＝〈ｍｉｄ，ＥｎｃＫｍ（Ｉｍｇ，ＴｒａｎｓＤａｔａ，ｔｓｃ），Ｓｉｇｍ〉
ただし、ｍｉｄは商人ＩＤ４、Ｋｍは商人と支払センタ５との間の共有キー、Ｉｍｇはカメラ７によって撮影された顔の画像、ＴｒａｎｓＤａｔａはトランザクション細目、ｔｓｃはタイムスタンプ、ＳｉｇｍはＣｏｎｓｅｎｔメッセージ１０に対する商人デバイス４の署名である。
【００７７】
第３のステップ３′Ｐで、支払センタ５が、Ｃｏｎｓｅｎｔメッセージ１０を復号し、ユーザが商店４の到達可能範囲内に所在することを位置ビーコン１１が示しているユーザ２を選び出す。そして、支払センタ５に提供された写真に対して顔識別プロセスを実行するために、ユーザＩＤの候補リストが生成される。ユーザＩＤ（ｕｉｄ）の照合後、対応するユーザのアカウントが課金され、トランザクション情報がそのユーザのモバイルデバイス３へ送信される。識別プロセスが失敗した場合、支払センタ５は、入力生体情報を照合するために、登録ユーザのデータベース全体を検索する。
【００７８】
位置情報を提供するビーコンは、安全性およびパフォーマンスの点で、支払センタ５に利点を提供する。すなわち、これにより、ユーザトランザクションが行われる時に商店内に所在する選別された候補リストが得られる。したがって、識別プロセスは、まず候補リストに対して実行される。これは、登録ユーザのデータベース全体よりもはるかに小さいデータセットである。さらに、トランザクションプロセス中のユーザの位置が存在しない場合には警告を発してもよい。これは、詐欺検出のために使用可能である。
【００７９】
要約すれば、本発明によれば、カメラへの近接性に従って顔形を分類することが可能となるため、近接した顔形のみが受理される。また、本発明は、生体識別チャレンジの新しさを保つために、ユーザが保持するデバイスの位置やタイムスタンプのようなメタデータ情報を利用することにより、安全で効率的なトランザクションを提供する。これは、トランザクションプロセスにおける長時間のユーザインタラクションを必要とせずに、反射攻撃を防止し、識別を高速化する。
【００８０】
また、本発明は、使いやすさによって安全性を損なうことはなく、すべてのサービス、特に、高速なサービス時間を有する（あるいは有するとみなされる）サービスに使用可能である。本発明は、トランザクション中のオーバーヘッド時間を最小限のみとすることが可能であり、実施が容易で配備は安価である。
【００８１】
上記の説明および添付図面の記載に基づいて、当業者は本発明の多くの変形例および他の実施形態に想到し得るであろう。したがって、本発明は、開示した具体的実施形態に限定されるものではなく、変形例および他の実施形態も、添付の特許請求の範囲内に含まれるものと解すべきである。本明細書では特定の用語を用いているが、それらは総称的・説明的意味でのみ用いられており、限定を目的としたものではない。
【図１】
0005944370.tif 000002
【図２】
0005944370.tif 000003
【図３】
0005944370.tif 000004
【図４】
0005944370.tif 000005
【図５】
0005944370.tif 000006
【図６】
0005944370.tif 000007