(57)【要約】  【課題】第三者による装置内情報の改竄、盗用を防ぐことにより、セキュリティの高い生体認証装置を提供することである。  【解決手段】生体認証装置は、生体情報記憶部と、個人認証する際の生体情報認証手段と、上記端末との相互認証手段と、相互認証に対応する登録カウンタと、生体認証に対応する認証カウンタと、上記カウンタが所定値より大きい場合にセットされる閉塞フラグと、閉塞フラグにより、上記手段を動作させない認証制御手段とを備える。【選択図】  図２
2006107398.tif 000002
【特許請求の範囲】
【請求項１】
生体情報を記憶する生体情報記憶部と、
個人認証する際に取得した生体情報と、前記生体情報記憶部に記憶された前記生体情報とにより認証を行う生体情報認証手段と、
認証のための生体情報を接続された処理装置から取得する際に、前記処理装置と相互に正当性を認証し合う相互認証手段と、
前記相互認証手段による認証で正当性が認証されなかった場合にカウントされる登録カウンタと、
前記生体情報認証手段による認証で正当性が認証されなかった場合にカウントされる認証カウンタと、
前記登録カウンタ、または前記認証カウンタが所定値になった場合に、セットされる閉塞フラグと、
前記閉塞フラグがセットされている場合には、前記生体情報記憶部へのアクセスを禁止し、前記生体情報認証手段は認証処理を行わないよう制御する認証制御手段と、
を備える生体認証装置。
【請求項２】
前記生体情報記憶部は、外部から読み出しが可能であり、
前記登録カウンタ、前記認証カウンタ、及び前記閉塞フラグは、外部から読み出しが不可能である請求項１に記載の生体認証装置。
【請求項３】
生体認証装置による生体情報を利用した認証方法であって、
処理装置から登録すべき生体情報を取得し、生体情報記憶部に前記生体情報を記憶するステップと、
個人認証する際に処理装置から取得する生体情報と、前記生体情報記憶部に記憶された前記生体情報とを認証するステップと、
前記生体情報記憶手段が生体情報を取得する際に、前記処理装置と相互に正当性を認証し合うステップと、
前記処理装置との相互認証により正当性が認証されなかった場合に登録カウンタをカウントアップするステップと、
前記個人認証する際の認証で正当性が認証されなかった場合に認証カウンタをカウントアップするステップと、
前記登録カウンタ、または前記認証カウンタが所定値より大きくなった場合に、閉塞フラグをセットするステップと、
前記閉塞フラグがセットされている場合には、前記生体情報記憶部へのアクセスを禁止し、個人認証する際の生体情報の認証を行わないよう制御するステップと、
を備える生体認証装置による生体情報認証方法。
【請求項４】
生体情報を利用した認証を生体認証装置に実行させるプログラムであって、
処理装置から登録すべき生体情報を取得し、生体情報記憶部に前記生体情報を記憶するステップと、
個人認証する際に処理装置から取得する生体情報と、前記生体情報記憶部に記憶された前記生体情報とを認証するステップと、
前記生体情報記憶手段が生体情報を取得する際に、前記処理装置と相互に正当性を認証し合うステップと、
前記処理装置との相互認証により正当性が認証されなかった場合に登録カウンタをカウントアップするステップと、
前記個人認証する際の認証で正当性が認証されなかった場合に認証カウンタをカウントアップするステップと、
前記登録カウンタ、または前記認証カウンタが所定値より大きくなった場合に、閉塞フ
ラグをセットするステップと、
前記閉塞フラグがセットされている場合には、前記生体情報記憶部へのアクセスを禁止し、個人認証する際の生体情報の認証を行わないよう制御するステップと、
を実行させる生体情報認証プログラム。
【請求項５】
生体情報を記憶する生体情報記憶部と、
個人認証する際に取得した生体情報と、前記生体情報記憶部に記憶された前記生体情報とにより認証を行う生体情報認証手段と、
認証のための生体情報を接続された処理装置から取得する際に、前記処理装置と相互に正当性を認証し合う相互認証手段と、
前記相互認証手段による認証で正当性が認証されなかった場合にカウントされる登録カウンタと、
前記生体情報認証手段による認証で正当性が認証されなかった場合にカウントされる認証カウンタと、
前記登録カウンタ、または前記認証カウンタが所定値になった場合に、セットされる閉塞フラグと、
前記閉塞フラグがセットされている場合には、前記生体情報記憶部へのアクセスを禁止し、前記生体情報認証手段は認証処理を行わないよう制御する認証制御手段と、
を備えるICカード。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、人間の生体情報を利用して個人認証する生体認証装置に関する。
【背景技術】
【０００２】
現在、銀行の預金引き下ろしや商品の購入、また施設への入退出などにおいて、特定の個人を認証する方法として、磁気カードやＩＣカードなどに格納される暗証番号ＰＩＮ（Personal Identification Number）を利用する方法がある。しかし、このような個人認証方法では、カードと暗証番号が盗まれてしまうと、第三者に容易に侵入されてしまう。
【０００３】
そこで、近年は、ＩＣカード内の記憶容量の増大にも伴ない、指紋、虹彩、網膜、血管像、声紋など個人の生体情報を使用して個人認証する方法が提案されている。
【０００４】
このような生体情報により個人認証する方法として、生体情報をＩＣカード内に格納し、この情報を使って個人認証する手法が提案されている（特許文献１及び２参照）。
【特許文献１】特開２０００−２９３６４３号公報
【特許文献２】特開平１０−３１２４５９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、上記生体情報による個人認証方法においても、やはりセキュリティ上の問題がある。ＩＣカードは、ＩＣカード用端末を利用してカード内のデータにアクセスされるが、この端末の認証プログラムが比較的容易に改変することができるため、そういった悪質なプログラムによってＩＣカード内に登録されている個人登録データが改竄、盗用される恐れがあるからである。
【０００６】
本発明の目的は、第三者による装置内情報の改竄、盗用を防ぐことにより、セキュリティの高い生体認証装置を提供することである。
【課題を解決するための手段】
【０００７】
本発明は、上述した課題を解決するために以下の構成を採用する。即ち、本発明は、生体情報を記憶する生体情報記憶部と、個人認証する際に取得した生体情報と、前記生体情報記憶部に記憶された前記生体情報とにより認証を行う生体情報認証手段と、認証のための生体情報を接続された処理装置から取得する際に、前記処理装置と相互に正当性を認証し合う相互認証手段と、前記相互認証手段による認証で正当性が認証されなかった場合にカウントされる登録カウンタと、前記生体情報認証手段による認証で正当性が認証されなかった場合にカウントされる認証カウンタと、前記登録カウンタ、または前記認証カウンタが所定値になった場合に、セットされる閉塞フラグと、前記閉塞フラグがセットされている場合には、前記生体情報記憶部へのアクセスを禁止し、前記生体情報認証手段は認証処理を行わないよう制御する認証制御手段とを備える生体認証装置についてのものである。
【０００８】
本発明では、生体情報登録時の相互認証、及び現利用者の個人認証をする際の生体情報認証が行なわれ、上記それぞれの認証の結果、正当性を認証できなかった場合に、それぞれの認証に対応する登録カウンタ、認証カウンタがカウントアップされる。さらに、上記登録カウンタ、または認証カウンタが所定値より大きくなった場合にセットされる閉塞フラグが設けられており、この閉塞フラグがセットされている場合には、上記認証処理が停止される。
【０００９】
従って、本発明によれば、生体認証装置が、閉塞フラグによって認証処理を停止するか否かを制御するため、接続される他の処理装置との間でデータのやりとりをすることなく、自動で自ら当該認証処理を閉塞することができる。また、各認証において、１つの閉塞フラグを使って、認証処理の停止を制御するため、生体情報の不正登録、及び生体情報の不正認証といった異なる側面からの不正を一括で管理することができる。また、閉塞フラグがセットされた場合には全ての認証処理が動作しなくなるため、不正利用者による不正アタックの回数を減らすことができる。
【００１０】
ひいては、生体認証装置内の情報の漏洩を防ぎ、セキュリティの高い生体認証を行うことができるようになる。
【００１１】
また、本発明の生体認証装置は、上記生体情報記憶部が、外部からの読み出しが可能であり、上記登録カウンタ、認証カウンタ、及び閉塞フラグは、外部からの読み出しが不可能である。
【００１２】
従って、不正利用者による上記カウンタ、閉塞フラグの不正参照を防止することができ、不正利用者による生体認証装置内情報の改竄を防止することができる。
【００１３】
なお、本発明は、以上の何れかの機能を実現させるプログラムであってもよい。また、本発明は、そのようなプログラムをコンピュータが読み取り可能な記憶媒体に記録してもよい。
【発明の効果】
【００１４】
本発明によれば、第三者による装置内情報の改竄、盗用を防ぎ、セキュリティの高い生体認証装置を提供することができる。
【発明を実施するための最良の形態】
【００１５】
以下、図面を参照して、本発明を実施するための最良の形態（以下、実施形態という）に係る生体認証システムについて説明する。実施形態の構成は例示であり、本発明は実施形態の構成に限定されない。
【００１６】
〈システム構成〉
図1は、本発明の実施形態の生体認証システムの構成図である。本実施形態では、本発
明に係る生体認証システムを銀行業務に利用した場合の例を示す。以下に、銀行業務における本システムの利用形態と共に、システム構成を説明する。なお、本発明に係る生体認証システムは銀行業務に特化するものではない。
【００１７】
利用者は銀行の各種サービスを受けるにあたり、まず銀行口座を開設し、キャッシュカードとしてＩＣカード１０の発行を受ける。ＩＣカード１０が発行されると、利用者は銀行の窓口にて、ＩＣカード１０に自分の生体情報を登録する。ここでは、生体情報として、手の血管像に基づく静脈情報を採用した場合であって、生体認証装置としてＩＣカードを利用した場合の例を示す。この登録にあたり、利用者は、ＩＣカード１０を窓口端末（以降、端末とする）（本発明の処理装置に相当）４０に挿入し、端末４０に設けられた撮像部４１に手をかざすことにより、ＩＣカード１０に自分の手の静脈情報を登録する。なお、生体情報としては、静脈情報の他に、例えば指紋、虹彩、顔情報などを利用してもよい。また、生体認証装置としては、ＩＣカードの他に、ＰＤＡ（Personal Digital Assistance）などの携帯情報端末、携帯電話などを利用してもよい。
【００１８】
その後、利用者はＡＴＭ（自動現金入出金装置）により入出金等する場合には、生体情
報が登録されたＩＣカード１０をＡＴＭ（以降、端末とする）（本発明の処理装置に相当）３０に挿入し、端末３０に設けられている撮像部３１に手をかざすことにより、本人確認を行い、入出金等のサービスを受けることができる。
【００１９】
端末３０、４０はそれぞれネットワークを介して、各種銀行業務を処理する銀行オンラインシステムに接続されている（図示せず）。ここでは、端末３０、４０に接続される銀行オンラインシステムが行う処理を含めて、端末３０、４０の機能として説明する。また、ＡＴＭとしての端末３０と、銀行の窓口業務として利用される端末４０に区別しているが、１つの端末でそれぞれの処理を行うようにしてもよい。
【００２０】
各端末３０、４０は、挿入口（図示せず）からＩＣカード１０が挿入されると、ＩＣカード１０と通信を行い、ＩＣカード１０に格納されている各種情報のやりとりを行う。ＩＣカード１０と各端末３０、４０との通信は、例えば、ＩＳＯ／ＩＥＣ７８１６等で規定される接触式、電波などを利用した非接触式などが利用される。また、端末３０、４０はそれぞれ静脈情報を取得するための撮像部３１、４１を持つ。撮像部３１、４１は、手がかざされると、血管像を撮像し、その撮像した情報から、静脈情報を作成する。
【００２１】
〈ＩＣカードの内部構成〉
次に、図２を用いて、ＩＣカード１０の内部構成について説明する。図２は、ＩＣカード１０の内部構成を示す図である。
【００２２】
ＩＣカード１０は、ＣＰＵ１１、ＲＡＭ１２、ＲＯＭ１３、インタフェース（図示せず）などから構成される。そして、ＣＰＵ１１は、ＲＯＭ１３に格納される各種プログラムを読みだし、動作させることにより、各種処理を行う。
【００２３】
ＩＣカード１０に格納されるアプリケーションには、生体認証アプレット（以降、生体認証ＡＰとする）１４など、ＩＣカード１０がサポートするサービスに基づく各種アプレットがある。
【００２４】
生体認証ＡＰ１４は、ＩＣカード１０に利用者の静脈情報（以降、利用者生体情報という）を登録する処理（以降、生体情報登録処理という）、及びＩＣカード１０に登録された利用者生体情報により利用者本人であることを確認する処理（以降、生体情報認証処理という）を行う。
【００２５】
生体認証ＡＰ１４は、上記処理を行うために、プログラム部１４１、第１のデータ部１４２、第２のデータ部１４３などから構成される。プログラム部１４１は、上記生体認証ＡＰ１４の各処理を実行するプログラムが格納されている。格納されるプログラムは、端末４０とＩＣカード１０との間の上記生体情報登録処理（本発明の相互認証手段に相当）、端末３０とＩＣカード１０との間の上記生体情報認証処理（本発明の生体情報認証手段に相当）、及び各処理の動作、停止の制御（本発明の認証制御手段に相当）などを行う。
【００２６】
第１のデータ部１４２は、利用者の静脈情報を記憶する生体情報記憶部１４７などから構成される。第２のデータ部１４３は、外部から読み出すことのできないメモリ領域にあり、登録カウンタ１４４、認証カウンタ１４５、閉塞フラグ１４６などから構成される。
【００２７】
登録カウンタ１４４は、生体情報登録処理時に行われる端末４０とＩＣカード１０との間の相互認証において、端末４０がＩＣカード１０を認証できなかった場合、またはＩＣカード１０が端末４０を認証できなかった場合に、カウントアップされるカウンタである。
【００２８】
認証カウンタ１４５は、生体情報認証処理時に行われる認証において、ＩＣカード１０に登録されている利用者生体情報と、端末３０の撮像部において取得された利用者生体情報とが一致しなかった場合に、カウントアップされるカウンタである。
【００２９】
閉塞フラグ１４６は、プログラム１４１部に格納される生体認証ＡＰにより参照されるフラグである。閉塞フラグ１４６は、例えば、０か１かの数値で表され、０の場合がセットされていない状態であり、１の場合がセットされている状態として使用すると定義してもよい。閉塞フラグ１４６は、登録カウンタ１４４、または認証カウンタ１４５が所定の値となった場合に、生体認証ＡＰによってセットされるフラグである。生体認証ＡＰは、閉塞フラグ１４６によって、上記生体情報登録処理、生体情報認証処理を実行するか否かを判断する。つまり、閉塞フラグ１４６がセットされた状態では、生体認証ＡＰは全ての処理を停止することになる。なお、その他のアプレットは閉塞フラグ１４６に関係なく動作するようにしてもよい。
【００３０】
〈動作例〉
次に、上記生体認証ＡＰの処理について図３―６を用いて説明する。以下の説明では、説明をわかりやすいものとするために、生体認証ＡＰの処理をＩＣカード１０の動作として説明する。ＩＣカード１０（生体認証ＡＰ）は、大きくは上述した２つの処理（生体情報登録処理、及び生体情報認証処理）を行う。
【００３１】
（生体情報登録時におけるＩＣカード１０の動作）
まず、図３及び４を用いて、ＩＣカード１０の生体情報登録時の動作について説明する。図３は、本発明に係る生体認証システムを構成する端末４０とＩＣカード１０との間の生体情報登録時のやりとりを示すシーケンスチャートである。
【００３２】
端末４０とＩＣカード１０が通信可能状態になると、端末４０とＩＣカード１０とは相互認証を行う。すなわち、端末４０はＩＣカード１０の正当性を、ＩＣカード１０は端末４０の正当性を確認する。すなわち、端末４０とＩＣカード１０はそれぞれ共通鍵を保有し、この共通鍵を共有していることを確認することで、相互の正当性を認証する。
【００３３】
端末４０は、ＩＣカード１０へ、端末認証コード及び第１の認証データ（３０３）を送信する。この端末認証コードは、例えば端末４０によって生成されるハッシュコードであり、第１の認証データを端末４０が保有する共通鍵で暗号化することにより生成される。第１の認証データとは、例えば端末４０によって生成される乱数である。
【００３４】
端末認証コード及び第１の認証データを受信したＩＣカード１０は、端末４０と同様の方法により、第１の認証データをＩＣカード１０が保有する共通鍵を使用して端末認証コードを生成する。そして、ＩＣカード１０は、端末４０より受信した端末認証コードと自身が生成した端末認証コードを照合させることにより、端末４０の正当性を認証する（Ｓ３１０：端末認証）。ＩＣカード１０は、端末認証（Ｓ３１０）の結果（３０４）を端末４０へ送信する。
【００３５】
端末認証（Ｓ３１０）の結果（３０４）を受信した端末４０は、第２の認証データ（３０５）を生成し、ＩＣカード１０へ送信する。第２の認証データ（３０５）は、例えば端末４０で生成される乱数である。また、ここでは、第２の認証データ（３０５）は端末４０で生成されているが、ＩＣカード１０によって生成されるようにしてもよい。ＩＣカード１０は、受信した第２の認証データ（３０５）をＩＣカード１０が保有する共通鍵で暗号化することによりハッシュコードを生成し、それをＩＣカード認証コード（３０６）として端末４０へ送信する。
【００３６】
ＩＣカード認証コードを受信した端末４０は、自身が生成した第２の認証データ（３０５）と自身が保有する共通鍵によりＩＣカード認証コードを生成し、受信したＩＣカード認証コード（３０６）と照合を行う。これにより、端末４０は、受信したＩＣカード認証コードの正当性を認証する（Ｓ３２０：ＩＣカード認証）。端末４０は、ＩＣカード認証（Ｓ３２０）の結果（３０７）をＩＣカード１０へ送信する。
【００３７】
相互認証により相互の正当性の認証が完了すると、端末４０は、利用者の生体情報を撮像部４１より取得、生成する（Ｓ３２１）。そして、端末４０は、この生体情報をＩＣカード１０に登録するために、ＩＣカード１０へ生体情報登録指示と共に生体情報（３０８）を送信する。最後に、ＩＣカード１０は、端末４０から受信した生体情報を登録する（Ｓ３１１）。
【００３８】
（生体情報登録時におけるＩＣカード１０の動作フローの説明）
図４は、ＩＣカード１０の生体情報登録時における処理のフローチャートであり、上述した処理シーケンスにおけるＩＣカード１０の動作を示す。なお、図３で示すＩＣカード１０の処理と同じものについては、図４内においても同じ符号を使用している（Ｓ３１０、及びＳ３１１）。
【００３９】
ＩＣカード１０は、生体情報登録処理を実行するとまず、閉塞フラグ１４６がセットされているか否かをチェックする（Ｓ４０２）。閉塞フラグ１４６が既にセットされている場合には（Ｓ４０２；ＹＥＳ）、生体情報登録はできないものとして端末４０へ通知する（Ｓ４１４）。
【００４０】
ＩＣカード１０は、閉塞フラグ１４６がセットされていない場合（Ｓ４０２；ＮＯ）、その後端末４０から送信されてくる端末認証コード及び第１の認証データを受信する（Ｓ４０３）。そして、ＩＣカード１０は、この端末認証コードの正当性を保有する共通鍵と認証データを使って、認証する（Ｓ３１０）。端末認証（Ｓ３１０）の結果、受信した端末認証コードの正当性が認証された場合には（Ｓ４０５；ＹＥＳ）、ＩＣカード１０は、端末４０から受信した第２の認証データと自身が保有する共通鍵を使用し、ＩＣカード認証コードを生成し、端末４０へ送信する（Ｓ４０６）。その後、ＩＣカード１０は、端末４０によってなされたＩＣカード認証（Ｓ３２０）の結果を受信する（Ｓ４０７）。そして、ＩＣカード認証の結果、ＩＣカード認証コードの正当性が認証された場合には（Ｓ４０８；ＹＥＳ）、ＩＣカード１０は、端末４０から送信されてくる生体情報を登録する（Ｓ３１１）。最後に、ＩＣカード１０は、生体情報が正常に登録された旨を端末４０へ通知する（Ｓ４１０）。
【００４１】
一方、相互認証で正常に認証されなかった場合、すなわち、端末認証（Ｓ３１０）の結果、受信した端末認証コードの正当性が認証されなかった場合（Ｓ４０５；ＮＯ）、または、端末４０によるＩＣカード認証（Ｓ３２０）の結果、ＩＣカード認証コードの正当性が認証されなかった場合には（Ｓ４０８；ＮＯ）、共に、登録カウンタ１４４をカウントアップする（Ｓ４１１）。そして、その結果、登録カウンタ１４４の値が所定値より大きくなった場合には（Ｓ４１２；ＮＯ）、ＩＣカード１０は、閉塞フラグ１４６をセットし（Ｓ４１３）、端末４０へ生体情報登録ができなかった旨を通知する（Ｓ４１４）。なお、登録カウンタ１４４の値が所定値以下であれば（Ｓ４１２；ＹＥＳ）、そのまま、端末４０へ生体情報登録ができなかった旨を通知する（Ｓ４１４）。
【００４２】
（生体情報認証時における動作の説明）
次に、図５及び６を用いて、ＩＣカード１０の生体情報認証時の動作について説明する。図５は、本発明に係る生体認証システムを構成する端末３０とＩＣカード１０との間の生体情報認証時のやりとりを示すシーケンスチャートである。
【００４３】
端末３０とＩＣカード１０が通信可能状態になると、端末３０は現在の利用者生体情報を撮像部３１より取得、生成する（Ｓ５１１）。そして、端末３０は生成した現在の利用者生体情報をＩＣカード１０へ送信する（５０３）。ＩＣカード１０は、受信した現在の利用者の生体情報と、生体情報記憶部１４７に格納されている生体情報とを認証する（Ｓ５１２：生体情報認証）。そして、ＩＣカード１０は、生体情報認証（Ｓ５１２）の結果（５０４）を端末３０に通知する。この生体情報認証により、双方の生体情報の正当性が認証されると、利用者は、以降、各種銀行のサービスを受けることができる。
【００４４】
（生体情報認証時におけるＩＣカード１０の動作フローの説明）
図６は、ＩＣカード１０の生体情報認証時における処理のフローチャートであり、上述した処理シーケンスにおけるＩＣカード１０の動作を示す。なお、図５で示すＩＣカード１０の処理と同じものについては、図６内においても同じ符号を使用する（Ｓ５１２）。
【００４５】
ＩＣカード１０は、生体情報認証処理が実行されるとまず、閉塞フラグ１４６がセットされているか否かをチェックする（Ｓ６０２）。閉塞フラグ１４６が既にセットされている場合には（Ｓ６０２；ＹＥＳ）、生体情報認証はできないものとして端末３０へ通知する（Ｓ６０９）。
【００４６】
ＩＣカード１０は、閉塞フラグ１４６がセットされていない場合（Ｓ６０２；ＮＯ）、その後端末３０から送信されてくる現在の利用者の生体情報を受信する（Ｓ６０３）。そして、ＩＣカード１０は、受信した現在の利用者の生体情報と、生体情報記憶部１４７に格納されている生体情報とを認証する（Ｓ５１２：生体情報認証）。生体情報認証（Ｓ５１２）の結果、双方の生体情報の正当性が認証されると（Ｓ６０４；ＹＥＳ）、ＩＣカード１０は、生体情報の正当性が認証された旨を端末３０へ送信する（Ｓ６０８）。逆に、生体情報認証（Ｓ５１２）の結果、双方の生体情報の正当性が認証されなかった場合には（Ｓ６０４；ＮＯ）、認証カウンタ１４５をカウントアップする（Ｓ６０５）。そして、その結果、認証カウンタ１４５の値が所定値より大きくなった場合には（Ｓ６０６；ＮＯ）、ＩＣカード１０は、閉塞フラグ１４６をセットし（Ｓ６０７）、端末３０へ生体情報認証ができなかった旨を通知する（Ｓ６０９）。なお、認証カウンタ１４５の値が所定値以下であれば（Ｓ６０６；ＹＥＳ）、そのまま、端末３０へ生体情報認証ができなかった旨を通知する（Ｓ６０９）。
【００４７】
〈実施形態の作用効果〉
以上述べたように、本発明の実施形態に係る生体情報認証システムでは、ＩＣカード１０が、銀行の端末３０、４０との間で、生体情報登録時の相互認証、及び生体情報登録後の現利用者の生体情報認証を行い、正当性が認証された場合に、端末３０、４０に対してその旨を通知し、以降、端末３０、４０にて銀行の各種サービスの提供を受けることができるようになる。
【００４８】
ＩＣカード１０は、閉塞フラグ１４６を外部から読み出せないメモリ領域に設け、この閉塞フラグ１４６の状態によって、上記認証処理の実行を制御する。
【００４９】
また、ＩＣカード１０は、上記相互認証、及び生体情報認証のそれぞれに対応する登録カウンタ１４４、認証カウンタ１４５を、外部から読み出せないメモリ領域に設けている。ＩＣカード１０は、上記認証の結果、正当性を認証できなかった場合に、それぞれの認証に対応した登録カウンタ１４４、認証カウンタ１４５をカウントアップする。
【００５０】
そして、上記閉塞フラグ１４６は、上記登録カウンタ１４４、または認証カウンタ１４５の値が所定値より大きくなった場合に、セットされる。
【００５１】
このように、本実施形態のＩＣカード１０は、自身で各認証エラーのカウントを保持し、このカウンタによって、以降の認証処理を行うか否かの閉塞フラグ１４６をセットする。
【００５２】
これにより、認証エラーが許される残回数などの情報をＩＣカード１０から、端末３０、４０に出力する必要がなくなり、ＩＣカード内情報の漏洩を防ぐことができる。
【００５３】
また、上述したように、本実施形態のＩＣカード１０は、生体情報をＩＣカード１０に登録する際の認証エラー、及びＩＣカード１０に登録されている生体情報と現利用者の生体情報との生体情報認証エラーのどちらの認証エラーにおいても、１つの閉塞フラグ１４６をセットする。
【００５４】
これにより、生体情報の不正登録、及び生体情報の不正認証など異なる側面からの不正を一括で管理することができる。
【００５５】
また、上述したように、本実施形態のＩＣカード１０は、閉塞フラグ１４６がセットされた場合に、上記認証処理を全て停止させる。つまり、不正利用者が、一度サービスを止め、端末３０、４０からＩＣカード１０を抜き、再度サービスを開始させたとしても、以降、何らサービスを受けることができなくなる。
【００５６】
これにより、不正利用者による不正アタックの回数を減らすことができる。
【００５７】
〈変形例〉
本発明の上記実施形態におけるＩＣカード１０では、認証毎に、登録カウンタ１４４、認証カウンタ１４５を設け、それぞれの認証エラー時に更新しているが、このカウンタを１つにし、各認証はこのカウンタをカウントアップするようにし、このカウンタ値と所定値とを比較して、閉塞フラグ１４６をセットするようにしてもよい。
【００５８】
これにより、全ての認証エラーの合計値により、認証処理を停止するか否かを制御することができるようになる。
【００５９】
また、本発明の上記実施形態におけるＩＣカード１０では、生体情報登録時の相互認証方式として、共通鍵暗号方式が使用されているが、ＲＳＡなどの公開鍵暗号方式を使用するようにしてもよい。
【図面の簡単な説明】
【００６０】
【図１】本発明の実施形態の生体認証システムの構成を示す図である。
【図２】ＩＣカードの内部構成を示す図である。
【図３】端末とＩＣカードとの間の生体情報登録時のやりとりを示す図である。
【図４】ＩＣカードの生体情報登録時における処理フローを示す図である。
【図５】端末とＩＣカードとの間の生体情報認証時のやりとりを示す図である。
【図６】ＩＣカードの生体情報認証時における処理フローを示す図である。
【符号の説明】
【００６１】
１０…ＩＣカード
３０、４０…端末
３１、４１…撮像部
１１…ＣＰＵ
１２…ＲＡＭ
１３…ＲＯＭ
１４…生体認証ＡＰ
１４１…プログラム部
１４２…第１のデータ部
１４３…第２のデータ部
１４４…登録カウンタ
１４５…認証カウンタ
１４６…閉塞フラグ
１４７…生体情報記憶部
【図１】
2006107398.tif 000003
【図２】
2006107398.tif 000004
【図３】
2006107398.tif 000005
【図４】
2006107398.tif 000006
【図５】
2006107398.tif 000007
【図６】
2006107398.tif 000008