(57)【要約】  第１および第２の端末間の通信を暗号化するための鍵を生成する方法であって、ユーザーの身体的識別子の特徴の測定値を得るステップ、及び、コード集合から選択されるコードを用いて前記身体的識別子から鍵を抽出するステップを有し、前記コード集合の中の各々のコードが前記特徴の値の集合から鍵の集合への順序写像を定義し、前記コード集合が前記コード集合の中の他のコードのうちの１つの順序写像の置換である順序写像を有する少なくとも一つのコードを含む方法が提供される。
2008526080.tif 000002
【特許請求の範囲】
【請求項１】
第１および第２の端末間の通信を暗号化するための鍵を生成する方法であって、
ユーザーの身体的識別子の特徴の測定値を得るステップ、及び
コード集合から選択されるコードを用いて前記身体的識別子から鍵を抽出するステップを有し、
前記コード集合の中の各々のコードが前記特徴の値の集合から鍵の集合への順序写像を定義し、前記コード集合が前記コード集合の中の他のコードのうちの１つの順序写像の置換である順序写像を有する少なくとも一つのコードを含む方法。
【請求項２】
前記置換が巡回置換である請求項１に記載の方法。
【請求項３】
前記置換が非巡回置換である請求項１に記載の方法。
【請求項４】
さらに前記抽出された鍵上で一方向関数を実行する請求項１,２又は３に記載の方法。
【請求項５】
前記第１の端末が認証機関の一部である請求項１から４のいずれか一項に記載の方法。
【請求項６】
前記第１の端末において前記コード集合から前記コードをランダムに選択する請求項５に記載の方法。
【請求項７】
前記第１の端末において、さらに身体的識別子の特徴の前記測定値から前記鍵を抽出するために用いられる前記コードを識別するためのヘルパーデータを得る請求項５又は６に記載の方法。
【請求項８】
さらに前記ヘルパーデータ及び前記抽出された鍵を前記第２の端末のメモリに格納する請求項７に記載の方法。
【請求項９】
前記第１の端末がユーザー端末であり、前記第２の端末によって前記第１の端末に提供されたヘルパーデータに基づいて前記コードが前記コード集合から選択される請求項１，２，３又は４に記載の方法。
【請求項１０】
前記身体的識別子がバイオメトリック識別子である請求項１から９のいずれか一項に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティシステムに用いられる鍵の生成に関し、特に身体的識別子による鍵の生成に関する。
【背景技術】
【０００２】
より信頼性が高く、便利なセキュリティシステムに対する要求が高まっており、指紋、虹彩、音声及び歩調のような身体的識別子の使用に対する関心が存在する。身体的識別子は、例えばコンピュータのパスワードのように、紛失されたり又は忘れられたりすることがなく、より高いセキュリティ及びさらなる便利さをユーザーに提供する可能性をもっている。
【０００３】
身体的/バイメトリックデータから生成される対称暗号鍵を用いるシステムを、図１及び２を参照して後述する。
【０００４】
ユーザー（アリス）が他のユーザー（例えば彼女の銀行）との非公開のチャネルを通した通信を望んでいる状況を考える。アリス及び銀行によって用いられるプロトコルは、２つのフェーズ、すなわち登録フェーズ及び申請フェーズを有する。
【０００５】
図１は、登録フェーズを実行するために必要なシステムアーキテクチャを示す。登録フェーズにおいて、認証機関（CA）は、安全なチャネルを通じてアリスのバイオメトリクスXnの測定値を受信し、秘密情報Sを生成し、さらにこれから、暗号鍵F(S)及びいくつかのヘルパーデータWを生成する。身体的識別子から鍵を生成するそのような方法は、"New Shielding Functions to Enhance Privacy and Prevent Misuse of Biometric Templates" by J.P. Linnartz and P. Tuyls, AVBPA 2003.に記載されている。ヘルパーデータW及び暗号鍵F(S)は、銀行のデータベースに記憶される。ヘルパーデータWは、申請フェーズの間、端末がアリスのバイオメトリクスの雑音が多い測定値Ynから同一の暗号鍵F(S)を生成することを可能にするために、用いられる。
【０００６】
申請フェーズの間、アリスのバイオメトリクスの雑音が多い測定値Ynが、端末において得られる。アリスは端末に従来のユーザー識別データ（例えばユーザー名）を入力し、当該ユーザー識別データは銀行に送信される。銀行は、このデータを用いてそのデータベースにアクセスし、アリスに関連するヘルパーデータWを読み出す。ヘルパーデータWは、公開の認証されたチャネルを通じてアリスの端末に送信される。アリスのバイオメトリクスの雑音が多い測定値Ynと共にヘルパーデータWが鍵F(V)を生成するために用いられる。そして、F(S)及びF(V)はそれぞれ、銀行からアリスへ及びアリスから銀行へ送られる通信を暗号化するために用いられる。システムが対称暗号鍵を用いるので、暗号化された通信をデコードするためにF(V)はF(S)と等しくなければならない。
【０００７】
昔ながらのシステムに関するこのシステムの利便性及びセキュリティは、アリスが彼女の暗号鍵F(V)もヘルパーデータWも保存する必要がないことに由来する。申請フェーズにおいてアリスは、彼女のバイオメトリック識別子の測定値を提供することを要求されるだけである。
【０００８】
しかし、アリスは、いくつかの関係者、例えば銀行及び他のユーザ（チャーリー）との安全な通信を確立するために、彼女のバイオメトリックデータを用いる必要がある可能性がある。従って、チャーリーがアリスと銀行との間の通信を盗聴できないことが望ましいので、アリスは彼女のバイオメトリックデータから複数の暗号鍵を得なければならない。加えて、アリスと銀行との間の安全なチャネルへの攻撃において協力するために、複数の関係者がそれぞれの暗号鍵を用いるという可能性から防御することが望ましい。
【０００９】
そのようなシステムは、いくつかの特性を有しなければならない。第１にシステムが堅牢でなければならない。つまり、ユーザーのバイオメトリクスXnの雑音が多い測定値Ynを所与として、申請フェーズの間に正しい鍵、すなわちF(V) = F(S）を得ることが可能でなければならない。
【００１０】
第２に、銀行のデータベース中の情報（F(S)及びW）は、Xnに関するいかなる機密情報も露呈してはならない。
【００１１】
第３に、公開の認証されたチャネルを通じて送られるヘルパーデータWは、暗号鍵F(S)に関するいかなる情報も示してはならない。
【００１２】
第４に、一定のバイオメトリックXnを所与として、F(S)とWとの異なる対を生成することが可能でなければならない。
【００１３】
以下では、鍵とヘルパーデータとの異なる対を、F(Si), Wi（i=1,2, ..., K, K>>1））と表示する。ヘルパーデータWi及び他の鍵/ヘルパーデータ対(F(S1),W1; ...; F(Si-1), Wi-1; F(Si+1), Wi+1; ...; F(SK), WK)を所与として、鍵F(Si)の機密性が保証されなければならない。
【００１４】
システムの安全性について、いくつかの仮定もなされる。第１に、登録フェーズを実行する認証機関（CA）は信頼される。
【００１５】
第２に、申請フェーズの間の銀行からアリスへのヘルパーデータWの通信は、公開の認証されたチャネルを通じて行われる。
【００１６】
第３に、アリスが通信する関係者は信頼できない。例えば、チャーリーはアリスと銀行との間の安全なチャネルを攻撃するために、彼の情報、F(Sc)及びWcを用いるかもしれない。すなわち、彼はF(SB)を見つけ出そうとする。
【００１７】
第４に、いくつかの関係者は、他のユーザーと共にアリスの安全なチャネルのうちの1つを攻撃するために協力することができる。
【００１８】
第５に、安全なチャネルをアリスと共有しない攻撃者は、安全なチャネルをアリスと共有する一以上の関係者から、暗号鍵とヘルパーデータを盗むことができる。特に、攻撃者はF(Si)とWiを入手できる。
【００１９】
第６に、アリスが申請フェーズの間に用いる端末のセンサー及び処理装置は、耐タンパ性がある。
【００２０】
最後に、攻撃者は隠れたバイオメトリクスを得ることができない。情報のみがデータベース内の情報からもたらされ得る。
【００２１】
バイオメトリックテンプレートは、被処理測定データ、すなわち特徴ベクトルであって、ランダムプロセスを実現するものとしてモデル化される。異なる個人のバイオメトリクスは、全ての個人に等しいランダムプロセスの独立した実現である。バイオメトリクスの処理は、既知の分布Pxを有するn個の独立の全く同じに分布する（independent identically distributed : i.i.d）ランダム変数によって記述可能なテンプレートに帰着する。ある個人のバイオメトリック列Xnがxnに等しい確率は、
2008526080.tif 000003
により定義される。Pxは、離散集合又は
2008526080.tif 000004
であり得るアルファベット
2008526080.tif 000005
上で定義される各々の要素の確率分布である。（
2008526080.tif 000006
の場合、列Xnは確率密度関数
2008526080.tif 000007
によって特徴付けられる。）
【００２２】
申請フェーズの間に行われる雑音が多い測定は、無記憶雑音通信路を通したバイオメトリクスの観測としてモデル化される。バイオメトリクスxnの測定値Ynについて、
2008526080.tif 000008
であり、PY|Xは、入力アルファベット
2008526080.tif 000009
及び出力アルファベット
2008526080.tif 000010
を伴う無記憶通信路を特徴付ける。認証機関が取得するバイオメトリックテンプレートは無雑音である。
【００２３】
雑音が多い測定値を取り扱うために、秘密情報抽出コード(Secret Extraction Code：SEC)を用いることができる。秘密情報抽出コードは、Pirn Tuyls及びJasper Goselingによる"Capacity and Examples of Template- Protecting Biometric Authentication Systems"（"http://eprint.iacr.org/2004/106.pdf"から入手可能）に記載されているが、後述もする。
【００２４】
記号
2008526080.tif 000011
は秘密情報の集合を意味し、
2008526080.tif 000012
及び
2008526080.tif 000013
は、雑音が多い測定値を示すチャネルの入力及び出力アルファベットをそれぞれ意味する。
【００２５】
ここでn, ε > 0とする。
2008526080.tif 000014
秘密情報抽出コード
2008526080.tif 000015
は、
2008526080.tif 000016
上で定義され、符号化領域と復号化領域との対の順序集合
2008526080.tif 000017
であり、ここで、
2008526080.tif 000018
及び
2008526080.tif 000019
である。そして、
2008526080.tif 000020
に対して、
2008526080.tif 000021
であり、全ての
2008526080.tif 000022
及び
2008526080.tif 000023
に対して
2008526080.tif 000024
である。
【００２６】
秘密情報抽出コードは、離散化によって、（おそらく連続な）変数の符号化-復号化スキームを、有限アルファベット
2008526080.tif 000025
に提供する。式(4)の条件は、曖昧でない符号化及び復号化が可能であることを表し、式(5)の条件はエラー確率が低いことを意味する。
【００２７】
集合
2008526080.tif 000026
が基数1を有する場合、SECは通常の誤り訂正符号である。秘密情報抽出コードから暗号鍵を決定するために、以下が定義される。
【００２８】
・登録及び申請フェーズそれぞれの間のバイオメトリクスの測定アルファベット
2008526080.tif 000027
及び
2008526080.tif 000028
。
【００２９】
・一方向ハッシュ関数
2008526080.tif 000029
但し、
2008526080.tif 000030
及び
2008526080.tif 000031
。
2008526080.tif 000032
及び
2008526080.tif 000033
のサイズは、F(S)を所与として、計算的にSを見つ出すことが不可能である程に、十分に大きい。
【００３０】
・秘密情報抽出コード
2008526080.tif 000034
。ここで、
2008526080.tif 000035
に対して、
2008526080.tif 000036
を定義する。
【００３１】
・
2008526080.tif 000037
上で定義される
2008526080.tif 000038
秘密情報抽出コードの有限集合。ここで、ε>0である。
【００３２】
以下の手続きが登録フェーズ中に行われる。
１．アリスのバイオメトリクス
2008526080.tif 000039
が測定される。
２．秘密情報抽出コードCが、
2008526080.tif 000040
においてランダムに選択される。ヘルパーデータWが、この秘密情報抽出コードCのインデックスとして定義される。
2008526080.tif 000041
の場合、秘密情報抽出コードは、
2008526080.tif 000042
からランダムに選択される。
３．
2008526080.tif 000043
を所与として、
2008526080.tif 000044
の場合、秘密情報Sは、S = iとして定義される。
2008526080.tif 000045
の場合、Sはランダムに選択される。
４．F(S)及びWが銀行に提供される。
【００３３】
以下の手続きが申請フェーズの間に行われる。
１．銀行が公開の認証されたチャネルを通じてアリスにヘルパーデータWを送信する。
２．アリスは、彼女のバイオメトリクスの測定値Ynを得る。
３．秘密情報抽出コードC(W)が、秘密情報V = i (
2008526080.tif 000046
の場合）及び鍵F(V)を得るために用いられる。
４．アリス及び銀行は、それぞれ、鍵F(V)及びF(S)に基づく対称暗号法を用いる。
【００３４】
上記のように、アリスが安全に異なる関係者と通信するために対称暗号法を用いる場合、彼女が一以上の場所で同じ鍵を用いないことが望ましい。
【００３５】
もし、
2008526080.tif 000047
がSECの集合であり、
2008526080.tif 000048
がアリスのバイオメトリックテンプレートである場合、そして、もし集合の中の一つの秘密情報抽出コードのみが特定のバイオメトリックと共に使用できる場合（すなわち、
2008526080.tif 000049
の場合）、明らかに、一つの暗号鍵のみがxnから得られる。多数の
2008526080.tif 000050
が存在し、
2008526080.tif 000051
が小さい集合
2008526080.tif 000052
は、複数の暗号鍵を抽出するために、ユーザーによって確実に用いられることができない。
【発明の開示】
【発明が解決しようとする課題】
【００３６】
従って、暗号鍵を特定のバイオメトリック識別子から抽出するために、秘密情報抽出コードの拡張された集合を提供することが、本発明の目的である。
【課題を解決するための手段】
【００３７】
本発明の第１の態様によれば、第１および第２の端末間の通信を暗号化するための鍵を生成する方法が提供され、当該方法は、ユーザーの身体的識別子の特徴の測定値を得るステップ、及びコード集合から選択されるコードを用いて前記身体的識別子から鍵を抽出するステップを有し、前記コード集合の中の各々のコードが前記特徴の値の集合から鍵の集合への順序写像を定義し、前記コード集合が前記コード集合の中の他のコードのうちの１つの順序写像の置換である順序写像を有する少なくとも一つのコードを含む。
【００３８】
発明は、単なる例示として、図面を参照して説明される。
【発明を実施するための最良の形態】
【００３９】
以下において、本発明は秘密情報抽出コード及びバイオメトリック識別子の使用に関して説明される。しかし、他の方法の使用により及び任意の種類の身体的識別子から鍵が生成されるシステムに本発明が適用され得ることが、当業者によって認識される。
【００４０】
上記したように、集合の中の一つ秘密情報抽出コードだけを特定のバイオメトリックと共に使用することが可能な場合（すなわち、
2008526080.tif 000053
の場合）、一つの暗号鍵のみをxnから得ることができる。多数のバイオメトリック識別子
2008526080.tif 000054
が存在し、秘密情報抽出コードの数
2008526080.tif 000055
が少ない集合
2008526080.tif 000056
は、複数の暗号鍵を抽出するために、確実に用いられることができない。
【００４１】
そこで、本発明は、鍵を抽出するために用いられるSECの集合が拡張された、第１及び第２の端末間の通信を暗号化するための鍵を生成する方法を提供する。特に、全ての
2008526080.tif 000057
に対して、
2008526080.tif 000058
であると仮定する。本発明による方法は、全ての
2008526080.tif 000059
に対して
2008526080.tif 000060
となるように、
2008526080.tif 000061
にSECを追加する。
【００４２】
本発明の好ましい実施の形態において、本方法は全ての
2008526080.tif 000062
に対して
2008526080.tif 000063
を達成する。本発明の好ましい実施の形態において、既存の秘密情報抽出コードの順序を変えたバージョンを加えることにより、秘密情報抽出コードの集合が拡張される。
【００４３】
具体的には、秘密情報抽出コードは、符号化/復号化領域対の順序集合である。すなわち、秘密情報抽出コードは、身体的識別子の特徴の値の集合を鍵の集合に関連づける。秘密情報抽出コードにおける値の集合及び鍵の集合の順序付けは、"領域"（身体的識別子の特徴の値の特定の集合である領域）から鍵への写像を意味する。本発明は、集合の中の元の秘密情報抽出コードと同じ"領域"を有するが鍵への写像が異なる秘密情報抽出コードを追加することによって、この集合を拡張する。
【００４４】
図３は、本発明に従って秘密情報抽出コードの集合を拡張する方法を示すフローチャートである。
【００４５】
ステップ102において、秘密情報抽出コードの集合が定義される。当該集合は、一つ以上の秘密情報抽出コードを有することができる。各々の秘密情報抽出コードは、身体的識別子の特徴の値の集合と鍵の集合との間の写像を定義する。すなわち、特徴の測定値に基づいて、測定値は複数の領域のうちの１つに割り当てられる。領域を、領域内の全ての測定値が互いに類似するようにすることができ、又は、各々の領域が異なる測定値を含むようにすることができる。割り当てられた領域を所与として、選択された秘密情報抽出コードは利用可能な鍵の集合から特定の鍵を定義する。
【００４６】
ステップ104において、秘密情報抽出コードの集合は、身体的識別子の特徴の値の集合と鍵の集合との間の写像を置換することによって拡張される。本発明の好ましい実施例においては、後で詳しく述べるように、置換は巡回置換である。本発明の別の実施例においては、置換は非巡回置換である。
【００４７】
図４は、本発明に従って秘密情報抽出コードの拡張された集合を用いて第１および第２の端末間の通信を暗号化するための暗号鍵を生成する方法を示すフローチャートである。当該方法は、登録フェーズと申請フェーズの両方に適用される。
【００４８】
ステップ110において、ユーザーの身体的識別子の特徴の測定が行われる。
【００４９】
上記のように、この測定が申請フェーズの間に行われる場合、測定値は雑音が多くなることあり、登録時に認証機関によって測定された測定値と正確に一致しないことがある。
【００５０】
ステップ112において、秘密情報抽出コードがコード集合から選択される。
上記した本発明によれば、当該コード集合の中のコードのうちの少なくとも１つは、身体的識別子の特徴の値と鍵の集合との間の写像であって、コード集合の中の他のコードのうちの１つの順序写像の巡回置換である写像を有する。
【００５１】
登録フェーズにおいて、すなわち、ユーザーが最初に特定の他のユーザーとの通信を暗号化するための鍵を決める場合、認証機関はコード集合からランダムに秘密情報抽出コードのうちの１つを選択する。申請フェーズにおいて、ユーザーが特定の他のユーザーと通信することを望む場合、第１の端末は登録時に認証機関によって生成されたヘルパーデータを用いて適切な秘密情報抽出コードを選択する。ヘルパーデータは、認証機関によって生成され、第２の端末のメモリに記憶される。
【００５２】
ステップ114において、選択された秘密情報抽出コードは、身体的識別子の特徴の測定値から鍵を抽出するために用いられる。一方向関数は、抽出された鍵から暗号化鍵を生成するために一般に用いられる。登録フェーズにおいて、認証機関は暗号化鍵を第２の端末に送信し、そこでメモリ中に記憶される。
【００５３】
申請フェーズにおいて、生成された暗号化鍵は、第２の端末に送信される通信を暗号化するため、及び第２の端末から受信される通信を解読するために用いられる。
【００５４】
上記したように、第１の秘密情報抽出コードから追加の秘密情報抽出コードを生成するために、置換処理が用いられる。本発明に従って用いられる置換の例として、πを
2008526080.tif 000064
上の置換、すなわち、
2008526080.tif 000065
とし、かつ、
2008526080.tif 000066
とする。新たな秘密情報抽出コードＣπは、
2008526080.tif 000067
として定義される。
【００５５】
2008526080.tif 000068
を、
2008526080.tif 000069
上の部分集合とする。秘密情報抽出コードの新たな集合
2008526080.tif 000070
が、
2008526080.tif 000071
として作成される。
【００５６】
本発明の好ましい実施の形態において、置換の集合が以下のように作成される。置換の集合は、
2008526080.tif 000072
上の全ての巡回シフトの集合、すなわち、
2008526080.tif 000073
である。
【００５７】
このように、基本の秘密情報抽出コードにおいて、第１の領域内の測定値が第１の鍵に写像され、第２の領域内の測定値が第２の鍵に写像されるなどしている場合には、第１の置換において、第１の領域内の測定値が第２の鍵に写像され、第２の領域内の測定値が第３の鍵に写像されるなどして、そして最後の領域内の測定値が第１の鍵に写像される。さらに、第２の置換において、第１の領域内の測定値が第３の鍵に写像され、第２の領域内の測定値が第４の鍵に写像されるなどして、そして最後の領域の測定値が第２の鍵に写像される。利用可能な置換の数は、このように、領域及び鍵の数に等しい。
【００５８】
拡張されたコード集合
2008526080.tif 000074
は
2008526080.tif 000075
によって定義される。
【００５９】
この構造は、背景技術において述べられた要求を満たす。例えば、秘密情報抽出コードの元の集合
2008526080.tif 000076
を所与として、
2008526080.tif 000077
となるように、
2008526080.tif 000078
であるとする。制限を課すことなく、
2008526080.tif 000079
が仮定される。
【００６０】
新規な集合Ccsに対して、
2008526080.tif 000080
と定義する。
【００６１】
式(8)及び(9)から、
2008526080.tif 000081
が導かれる。
【００６２】
序文の要求４を次のように定式化する。
2008526080.tif 000082
【００６３】
一方向関数F、F(S)（Sは未知）の値及び
2008526080.tif 000083
の完全な記述が所与のとき、攻撃者が
2008526080.tif 000084
の値を導き出すことができてはならない。
【００６４】
式(13)の要件は、一方向関数Fに要件を課す。例えば、Fは準同系、すなわちF(α+β)=F(α)F(β)であってはならず、さもなければ攻撃者が効率よくF(S)を計算することができてしまう。
【００６５】
上述の攻撃に対して脆くない一方向関数は、例えば、SHA-I、即ちブロック暗号から派生した一方向関数を含む。
【００６６】
EKが、一定の公に知られた鍵Ｋを用いるブロック暗号（例えば、LOMBOK又はDES）である場合、一方向関数Fを、
2008526080.tif 000085
として作成することができる。
【００６７】
最終的に、一方向関数Fに課される唯一の要件は一方向性（すなわち、preimage resistance）である点に注意すべきである。一方向性は、F(S)を所与として、攻撃者が、F(V)=F(S)であるとして（おそらくSに等しい）値Vを見つけ出すことができないことを保証する。加えて、衝突発見困難性(collision resistance)は必要とされない。
【００６８】
いうまでもなく、「有する」の語は、他の要素又はステップを排除せず、単数形は複数を排除せず、単一のプロセッサ又は他のユニットが、特許請求の範囲に記述されるいくつかの手段の機能を満たすことができる。
【図面の簡単な説明】
【００６９】
【図１】ユーザーが登録プロセスを実行するためのシステムを示す図。
【図２】ユーザーが申請プロセスを実行するためのシステムを示す図。
【図３】本発明に従って暗号鍵を生成する方法を示すフローチャート。
【図４】本発明に従って秘密情報抽出コードの集合を拡張する方法を示すフローチャート。
【図１】
2008526080.tif 000086
【図２】
2008526080.tif 000087
【図３】
2008526080.tif 000088
【図４】
2008526080.tif 000089
【国際調査報告】
2008526080.tif 000090
2008526080.tif 000091
2008526080.tif 000092