(57)【要約】  本発明の第１の態様によれば、安全な通信チャネルのネットワークノード（３００）を用いてクライアント装置（１００）のユーザ（２００）の生体データの登録をクライアント装置によって実行する方法を提供する。方法は、ユーザ（２００）の生体データをキャプチャすること（Ｓ１０１）と、ユーザ（２００）が認証される他の全てのクライアント装置（５００）と共有される第１の特徴変換鍵を用いて、生体データを、第１のセットの変換生体データに変換すること（Ｓ１０２）と、第２の特徴変換鍵を生成すること（Ｓ１０３）と、第２の特徴変換鍵を用いて、生体データを、第２のセットの変換生体データに変換すること（Ｓ１０４）と、ユーザ（２００）が認証される生体データ検証ノード（４００）と共有される暗号化鍵を用いて、第１のセットの変換生体データ及び第２のセットの変換生体データを暗号化すること（Ｓ１０５）と、第１のセットの変換生体データ及び第２のセットの変換生体データが登録されるネットワークノード（３００）と共有される暗号化鍵を用いて、第２の特徴変換鍵を暗号化すること（Ｓ１０６）と、暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データ、暗号化された第２の特徴変換鍵並びにユーザプロファイルデータを備える登録要求を、ネットワークノード（３００）に提示すること（Ｓ１０７）と、を備える。
2021505034.tif 000002
【特許請求の範囲】
【請求項１】
安全な通信チャネルのネットワークノード（３００）を用いてクライアント装置（１００）のユーザ（２００）の生体データの登録を前記クライアント装置によって実行する方法であって、
前記ユーザ（２００）の生体データをキャプチャすること（Ｓ１０１）と、
前記ユーザ（２００）が認証される他の全てのクライアント装置（５００）と共有される第１の特徴変換鍵を用いて、前記生体データを、第１のセットの変換生体データに変換すること（Ｓ１０２）と、
第２の特徴変換鍵を生成すること（Ｓ１０３）と、
前記第２の特徴変換鍵を用いて、前記生体データを、第２のセットの変換生体データに変換すること（Ｓ１０４）と、
前記ユーザ（２００）が認証される生体データ検証ノード（４００）と共有される暗号化鍵を用いて、前記第１のセットの変換生体データ及び前記第２のセットの変換生体データを暗号化すること（Ｓ１０５）と、
前記第１のセットの変換生体データ及び前記第２のセットの変換生体データが登録される前記ネットワークノード（３００）と共有される暗号化鍵を用いて、前記第２の特徴変換鍵を暗号化すること（Ｓ１０６）と、
暗号化された前記第１のセットの変換生体データ及び前記第２のセットの変換生体データ、暗号化された前記第２の特徴変換鍵並びにユーザプロファイルデータを備える登録要求を、前記ネットワークノード（３００）に提示すること（Ｓ１０７）と、
を備える方法。
【請求項２】
前記第１のセットの変換生体データ及び前記第２のセットの変換生体データを暗号化すること（Ｓ１０５）は、
前記生体データ検証ノード（４００）によって検証される認証を、前記第１のセットの変換生体データ及び前記第２のセットの変換生体データに与えることを更に備える請求項１に記載の方法。
【請求項３】
前記第２の特徴変換鍵を暗号化すること（Ｓ１０６）は、
前記ネットワークノード（３００）によって検証される認証を、前記第１のセットの変換生体データ及び前記第２のセットの変換生体データに与えることを更に備える請求項１又は２に記載の方法。
【請求項４】
安全な通信チャネルのクライアント装置（１００）のユーザ（２００）の生体データの登録をネットワークノード（３００）によって実行する方法であって、
前記ユーザ（２００）の暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データを備える登録要求を前記クライアント装置（１００）から受信すること（Ｓ１０７）であって、第１のセットの生体データは、第１の特徴変換鍵によって変換され、暗号化された第２の特徴変換鍵は、前記第２のセットの変換生体データをユーザプロファイルデータとともに変換するために用いられることと、
暗号化された前記第２の特徴変換鍵を解読すること（Ｓ１０８）と、
受信した前記第２の特徴変換鍵に対するユーザインデックスを生成すること（Ｓ１０９）と、
前記第２の特徴変換鍵、前記ユーザプロファイルデータ及び前記ユーザインデックスを格納すること（Ｓ１１０）と、
暗号化された前記第１のセットの変換生体データ及び前記第２のセットの変換生体データ、前記ユーザプロファイルデータ並びに前記ユーザインデックスを、生体データ検証ノード（４００）に提示すること（Ｓ１１１）と、
を備える方法。
【請求項５】
安全な通信チャネルのクライアント装置（１００）のユーザ（２００）の生体データの登録を生体データ検証ノード（４００）によって実行する方法であって、
前記クライアント装置（１００）の前記ユーザ（２００）の暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データを備える登録要求を、前記クライアント装置（１００）と通信を行うように構成されたネットワークノード（３００）から受信すること（Ｓ１１１）であって、特徴変換鍵によって変換された生体データのセットは、前記生体データ検証ノード、ユーザプロファイルデータ及び受信したデータに関連するユーザインデックスにアクセス不可能であることと、
暗号化された前記第１のセットの変換生体データ及び前記第２のセットの変換生体データを解読すること（Ｓ１１２）と、
前記ユーザ（２００）の次の認証のために前記第１のセットの変換生体データ及び前記第２のセットの変換生体データ、前記ユーザプロファイルデータ並びに前記ユーザインデックスを格納すること（Ｓ１１３）と、
を備える方法。
【請求項６】
生体データに基づく安全な通信チャネルのネットワークノード（３００）を用いてクライアント装置（５００）のユーザ（２００）の認証を可能にすることを前記クライアント装置（５００）によって実行する方法であって、
前記ネットワークノード（３００）からセッション値を受信すること（Ｓ２０２）と、
前記ユーザ（２００）の前記生体データをキャプチャすること（Ｓ２０３）と、
認証が行われる登録された生体データを有するクライアント装置（１００）と共有される第１の特徴変換鍵を用いて、前記生体データを第１のセットの変換生体データに変換すること（Ｓ２０４）と、
前記ユーザ（２００）が認証される生体データ検証ノード（４００）と共有される暗号化鍵を用いて、前記第１のセットの変換生体データ及び受信したセッション値を暗号化すること（Ｓ２０５）と、
前記ネットワークノード（３００）と共有される暗号化鍵を用いて、前記セッション値を暗号化すること（Ｓ２０６）と、
暗号化された前記第１のセットの変換生体データ、二つの暗号化されたセッション値及びユーザプロファイルデータを前記ネットワークノード（３００）に提示すること（Ｓ２０７）と、
少なくとも一つの暗号化された第２の特徴変換鍵及び前記セッション値の暗号化されたものを受信すること（Ｓ２１６）であって、少なくとも一つの第２の特徴変換鍵及び前記セッション値は、前記ネットワークノードと共有される鍵を用いて暗号化されることと、
暗号化された少なくとも一つの第２の特徴変換鍵及び暗号化されたセッション値を解読するとともに解読されたセッション値が以前に受信したセッション値に適合することを検証すること（Ｓ２１７）と、
前記ネットワークノード（３００）と共有される少なくとも一つの第２の特徴変換鍵を用いて、前記生体データを少なくとも一つの第２のセットの変換生体データに変換すること（Ｓ２１８）と、
前記生体データ検証ノード（４００）と共有される鍵を用いて、少なくとも一つの第２のセットの変換生体データ及び前記セッション値を暗号化すること（Ｓ２１９）と、
暗号化された少なくとも一つの第２のセットの変換生体データ及び暗号化されたセッション値を前記ネットワークノードに提示すること（Ｓ２２０）であって、前記ネットワークノード（３００）は、前記クライアント装置の認証のために、提示されたデータを前記生体データ検証ノード（４００）に転送することと、
を備える方法。
【請求項７】
前記第１のセットの変換生体データ及び受信したセッション値を暗号化すること（Ｓ２０５）は、
前記第１のセットの変換生体データ及び受信したセッション値に、前記生体データ検証ノード（４００）によって検証される認証を与えることを更に備える請求項６に記載の方法。
【請求項８】
前記セッション値を暗号化すること（Ｓ２０６）は、
暗号化された前記セッション値に、前記ネットワークノード（３００）によって検証される認証を与えることを更に備える請求項６又は７に記載の方法。
【請求項９】
少なくとも一つの第２のセットの変換生体データ及び前記セッション値を暗号化すること（Ｓ２１９）は、
少なくとも一つの前記第２のセットの変換生体データ及び前記セッション値に、前記生体データ検証ノード（４００）によって検証される認証を与えることを更に備える請求項６〜８のいずれか一項に記載の方法。
【請求項１０】
生体データに基づく安全な通信チャネルの生体データ検証ノード（４００）を用いてクライアント装置（５００）のユーザ（２００）の認証を可能にすることをネットワークノード（３００）によって実行する方法であって、
前記クライアント装置（５００）にセッション値を提示すること（Ｓ２０２）と、
ユーザの暗号化された第１のセットの変換生体データを前記クライアント装置から受信すること（Ｓ２０７）であって、第１のセットの生体データは、第１の特徴変換鍵によって変換されるとともに前記クライアント装置と前記生体データ検証ノードの間で共有される鍵によって暗号化され、前記セッション値は、前記クライアント装置と共有される鍵によってユーザプロファイルデータと共に暗号化され、前記セッション値は、前記クライアント装置と前記生体データ検証ノードの間で共有される鍵によって暗号化されることと、
受信した暗号化されたセッション値を解読するとともに解読したセッション値が以前に送信されたセッション値に適合することを検証すること（Ｓ２０８）と、
暗号化された前記第１のセットの変換生体データ、前記ユーザプロファイルデータ及び前記セッション値を提示すること（Ｓ２０９）であって、前記セッション値は、前記クライアント装置と前記生体データ検証ノードの間で共有される鍵によって暗号化されることと、
前記生体データ検証ノードに以前に登録された少なくとも一つのセットの変換生体データの各々に関連するとともに変換生体データと提示された第１のセットの変換生体データの照合を行うユーザインデックスと、前記セッション値とを前記生体データ検証ノードから受信すること（Ｓ２１２）と、
前記セッション値が前記生体データ検証ノードに以前に送信されたセッション値に適合することを検証すること（Ｓ２１３）と、
受信したユーザインデックスの各々に対して、以前に登録した第２の特徴変換鍵をフェッチすること（Ｓ２１４）と、
フェッチした少なくとも一つの第２の特徴変換鍵及び前記セッション値を、前記クライアント装置と共有される鍵によって暗号化すること（Ｓ２１５）と、
暗号化した前記第２の特徴変換鍵及び前記セッション値を前記クライアント装置に提示すること（Ｓ２１６）と、
少なくとも一つの第２の特徴変換鍵によって変換される暗号化された少なくとも一つの第２のセットの変換生体データ及び前記セッション値の暗号化されたものを、前記クライアント装置（５００）から受信すること（Ｓ２２０）であって、前記少なくとも一つの第２のセットの変換生体データ及び前記セッション値は、前記クライアント装置（５００）と前記生体データ検証ノード（４００）の間で共有される鍵によって暗号化されることと、
暗号化された前記少なくとも一つの第２のセットの変換生体データ、前記セッション値及び暗号化された前記セッション値を、前記生体データ検証ノード（４００）に提示すること（Ｓ２２１）と、
少なくとも以前に登録した第２の特徴変換鍵の各々に関連付けられたユーザインデックス及び前記セッション値を前記生体データ検証ノードから受信すること（Ｓ２２４）であって、前記生体データ検証ノードは、前記ユーザインデックスに以前に登録された少なくとも一つのセットの変換生体データに対する前記少なくとも一つの第２のセットの変換生体データの照合を行い、前記ユーザは認証されていると見なされることと、
を備える方法。
【請求項１１】
フェッチした少なくとも一つの第２の特徴変換鍵及び前記セッション値を、前記クライアント装置と共有される鍵によって暗号化すること（Ｓ２１５）は、
フェッチした少なくとも一つの第２の特徴変換鍵及び前記セッション値に、前記ネットワークノード（３００）によって検証された認証を与えることを更に備える請求項１０に記載の方法。
【請求項１２】
生体データに基づく安全な通信チャネルのクライアント装置（５００）のユーザ（２００）の認証を可能にすることを生体データ検証ノード（４００）によって実行する方法であって、
暗号化された第１のセットの変換生体データ、前記クライアント装置（５００）と共有される鍵によって暗号化されたセッション値及びユーザプロファイルデータを、前記クライアント装置（５００）と通信を行うように構成されたネットワークノード（３００）から受信すること（Ｓ２０９）と、
暗号化された前記第１のセットの変換生体データ及び暗号化された前記セッション値を解読するとともに暗号化された前記セッション値が受信したセッション値に適合することを検証すること（Ｓ２１０）と、
受信したユーザプロファイルデータに以前に登録された少なくとも一つのセットの変換生体データに対する暗号化された前記第１のセットの変換生体データの照合を行うこと（Ｓ２１１）と、
照合のために以前に登録した少なくとも一つのセットの変換生体データの各々に関連するユーザインデックス及び前記セッション値を、前記ネットワークノード（３００）に提示すること（Ｓ２１２）と、
暗号化された少なくとも一つの第２のセットの変換生体データ、暗号化された前記セッション値及び前記セッション値のクリアテキストコピーを、前記ネットワークノードから受信すること（Ｓ２２１）と、
暗号化された前記少なくとも一つの第２のセットの変換生体データ及び暗号化された前記セッション値を解読するとともに暗号化された前記セッション値がクリアテキストセッション値に適合すること（Ｓ２２２）と、
以前に登録された少なくとも一つのセットの変換生体データに対する少なくとも一つの前記第２のセットの変換生体データの照合を行うこと（Ｓ２２３）と、
照合のための少なくとも一つのユーザインデックスを前記セッション値と共に前記ネットワークノードに提示すること（Ｓ２２４）であって、前記ユーザは、認証されていると見なされることと、
を備える方法。
【請求項１３】
安全な通信チャネルのネットワークノード（３００）を用いてクライアント装置（１００）のユーザ（２００）の生体データの登録を行うように構成されたクライアント装置（１００）であって、前記クライアント装置（１００）は、生体データセンサ（１０２）及び処理装置（１０３）を備え、
前記生体データセンサ（１０２）は、
前記ユーザ（２００）の生体データをキャプチャするように構成され、
前記処理装置（１０３）は、
前記ユーザ（２００）が認証される他の全てのクライアント装置（５００）と共有される第１の特徴変換鍵を用いて、前記生体データを、第１のセットの変換生体データに変換し、
第２の特徴変換鍵を生成し、
前記第２の特徴変換鍵を用いて、前記生体データを、第２のセットの変換生体データに変換し、
前記ユーザ（２００）が認証される生体データ検証ノード（４００）と共有される暗号化鍵を用いて、前記第１のセットの変換生体データ及び前記第２のセットの変換生体データを暗号化し、
前記第１のセットの変換生体データ及び前記第２のセットの変換生体データが登録される前記ネットワークノード（３００）と共有される暗号化鍵を用いて、前記第２の特徴変換鍵を暗号化し、
暗号化された前記第１のセットの変換生体データ及び前記第２のセットの変換生体データ、暗号化された前記第２の特徴変換鍵並びにユーザプロファイルデータを備える登録要求を、前記ネットワークノード（３００）に提示するように構成されたクライアント装置（１００）。
【請求項１４】
前記処理装置（１０３）は、
前記生体データ検証ノード（４００）によって検証される認証を、前記第１のセットの変換生体データ及び前記第２のセットの変換生体データに与えるように更に構成された請求項１３に記載のクライアント装置（１００）。
【請求項１５】
前記処理装置（１０３）は、
前記ネットワークノード（３００）によって検証される認証を、前記第１のセットの変換生体データ及び前記第２のセットの変換生体データに与えるように更に構成された請求項１３又は１４に記載のクライアント装置（１００）。
【請求項１６】
安全な通信チャネルのクライアント装置（１００）のユーザ（２００）の生体データの登録を行うように構成されたネットワークノード（３００）であって、前記ネットワークノード（３００）は、処理装置（３０１）を備え、前記処理装置（３０１）は、
前記ユーザ（２００）の暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データを備える登録要求を前記クライアント装置（１００）から受信し、第１のセットの生体データは、第１の特徴変換鍵によって変換され、暗号化された第２の特徴変換鍵は、前記第２のセットの変換生体データをユーザプロファイルデータとともに変換し、
暗号化された前記第２の特徴変換鍵を解読し、
受信した前記第２の特徴変換鍵に対するユーザインデックスを生成し、
前記第２の特徴変換鍵、前記ユーザプロファイルデータ及び前記ユーザインデックスを格納し、
暗号化された前記第１のセットの変換生体データ及び前記第２のセットの変換生体データ、前記ユーザプロファイルデータ並びに前記ユーザインデックスを、生体データ検証ノード（４００）に提示するように構成されたネットワークノード（３００）。
【請求項１７】
安全な通信チャネルのクライアント装置（１００）のユーザ（２００）の生体データの登録を生体データ検証ノード（４００）であって、前記生体データ検証ノード（４００）は、処理装置（４０１）を備え、前記処理装置（４０１）は、
前記クライアント装置（１００）の前記ユーザ（２００）の暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データを備える登録要求を、前記クライアント装置（１００）と通信を行うように構成されたネットワークノード（３００）から受信し、特徴変換鍵によって変換された生体データのセットは、前記生体データ検証ノード、ユーザプロファイルデータ及び受信したデータに関連するユーザインデックスにアクセス不可能であり、
暗号化された前記第１のセットの変換生体データ及び前記第２のセットの変換生体データを解読し、
前記ユーザ（２００）の次の認証のために前記第１のセットの変換生体データ及び前記第２のセットの変換生体データ、前記ユーザプロファイルデータ並びに前記ユーザインデックスを格納するように構成された前記生体データ検証ノード（４００）。
【請求項１８】
生体データに基づく安全な通信チャネルのネットワークノード（３００）を用いてクライアント装置（５００）のユーザ（２００）の認証を可能にするように構成されたクライアント装置（５００）であって、クライアント装置（１００）は、生体データセンサ（１０２）及び処理装置（１０３）を備え、
前記処理装置（１０３）は、
前記ネットワークノード（３００）からセッション値を受信するように構成され、
前記生体データセンサ（１０２）は、
前記ユーザ（２００）の生体データをキャプチャするように構成され、
前記処理装置（１０３）は、
認証が行われる登録された生体データを有するクライアント装置（１００）と共有される第１の特徴変換鍵を用いて、前記生体データを第１のセットの変換生体データに変換し、
前記ユーザ（２００）が認証される生体データ検証ノード（４００）と共有される暗号化鍵を用いて、前記第１のセットの変換生体データ及び受信したセッション値を暗号化し、
前記ネットワークノード（３００）と共有される暗号化鍵を用いて、前記セッション値を暗号化し、
暗号化された前記第１のセットの変換生体データ、二つの暗号化されたセッション値及びユーザプロファイルデータを前記ネットワークノード（３００）に提示し、
少なくとも一つの暗号化された第２の特徴変換鍵及び前記セッション値の暗号化されたものを受信し、少なくとも一つの第２の特徴変換鍵及び前記セッション値は、前記ネットワークノードと共有される鍵を用いて暗号化され、
暗号化された少なくとも一つの第２の特徴変換鍵及び暗号化されたセッション値を解読するとともに解読されたセッション値が以前に受信したセッション値に適合することを検証し、
前記ネットワークノード（３００）と共有される少なくとも一つの第２の特徴変換鍵を用いて、前記生体データを少なくとも一つの第２のセットの変換生体データに変換し、
前記生体データ検証ノード（４００）と共有される鍵を用いて、少なくとも一つの第２のセットの変換生体データ及び前記セッション値を暗号化し、
暗号化された少なくとも一つの第２のセットの変換生体データ及び暗号化されたセッション値を前記ネットワークノードに提示し、前記ネットワークノード（３００）は、前記クライアント装置の認証のために、提示されたデータを前記生体データ検証ノード（４００）に転送するように構成されたクライアント装置（５００）。
【請求項１９】
前記処理装置（１０３）は、
前記第１のセットの変換生体データ及び受信したセッション値に、前記生体データ検証ノード（４００）によって検証される認証を与えるように更に構成された請求項１８に記載のクライアント装置（５００）。
【請求項２０】
前記処理装置（１０３）は、
暗号化された前記セッション値に、前記ネットワークノード（３００）によって検証される認証を与えるように更に構成された請求項１８又は１９に記載のクライアント装置（５００）。
【請求項２１】
前記処理装置（１０３）は、
少なくとも一つの前記第２のセットの変換生体データ及び前記セッション値に、前記生体データ検証ノード（４００）によって検証される認証を与えるように更に構成された請求項１８〜２０のいずれか一項に記載のクライアント装置（５００）。
【請求項２２】
生体データに基づく安全な通信チャネルの生体データ検証ノード（４００）を用いてクライアント装置（５００）のユーザ（２００）の認証を可能にするように構成されたネットワークノード（３００）であって、前記ネットワークノード（３００）は、処理装置（３０１）を備え、前記処理装置（３０１）は、
前記クライアント装置（５００）にセッション値を提示し、
ユーザの暗号化された第１のセットの変換生体データを前記クライアント装置から受信し、第１のセットの生体データは、第１の特徴変換鍵によって変換されるとともに前記クライアント装置と前記生体データ検証ノードの間で共有される鍵によって暗号化され、前記セッション値は、前記クライアント装置と共有される鍵によってユーザプロファイルデータと共に暗号化され、前記セッション値は、前記クライアント装置と前記生体データ検証ノードの間で共有される鍵によって暗号化され、
受信した暗号化されたセッション値を解読するとともに解読したセッション値が以前に送信されたセッション値に適合することを検証し、
暗号化された前記第１のセットの変換生体データ、前記ユーザプロファイルデータ及び前記セッション値を提示し、前記セッション値は、前記クライアント装置と前記生体データ検証ノードの間で共有される鍵によって暗号化され、
前記生体データ検証ノードに以前に登録された少なくとも一つのセットの変換生体データの各々に関連するとともに変換生体データと提示された第１のセットの変換生体データの照合を行うユーザインデックスと、前記セッション値とを前記生体データ検証ノードから受信し、
前記セッション値が前記生体データ検証ノードに以前に送信されたセッション値に適合することを検証し、
受信したユーザインデックスの各々に対して、以前に登録した第２の特徴変換鍵をフェッチし、
フェッチした少なくとも一つの第２の特徴変換鍵及び前記セッション値を、前記クライアント装置と共有される鍵によって暗号化し、
暗号化した前記第２の特徴変換鍵及び前記セッション値を前記クライアント装置に提示し、
少なくとも一つの第２の特徴変換鍵によって変換される暗号化された少なくとも一つの第２のセットの変換生体データ及び前記セッション値の暗号化されたものを、前記クライアント装置（５００）から受信し、前記少なくとも一つの第２のセットの変換生体データ及び前記セッション値は、前記クライアント装置（５００）と前記生体データ検証ノード（４００）の間で共有される鍵によって暗号化され、
暗号化された前記少なくとも一つの第２のセットの変換生体データ、前記セッション値及び暗号化された前記セッション値を、前記生体データ検証ノード（４００）に提示し、
少なくとも以前に登録した第２の特徴変換鍵の各々に関連付けられたユーザインデックス及び前記セッション値を前記生体データ検証ノードから受信し、前記生体データ検証ノードは、前記ユーザインデックスに以前に登録された少なくとも一つのセットの変換生体データに対する前記少なくとも一つの第２のセットの変換生体データの照合を行い、前記ユーザは認証されていると見なされるように構成されたネットワークノード（３００）。
【請求項２３】
前記処理装置（３０１）は、
フェッチした少なくとも一つの第２の特徴変換鍵及び前記セッション値に、前記ネットワークノード（３００）によって検証された認証を与えるように更に構成された請求項２２に記載のネットワークノード（３００）。
【請求項２４】
生体データに基づく安全な通信チャネルのクライアント装置（５００）のユーザ（２００）の認証を可能にすることを生体データ検証ノード（４００）であって、前記生体データ検証ノード（４００）は、処理装置（４０１）を備え、前記処理装置（４０１）は、
暗号化された第１のセットの変換生体データ、前記クライアント装置（５００）と共有される鍵によって暗号化されたセッション値及びユーザプロファイルデータを、前記クライアント装置（５００）と通信を行うように構成されたネットワークノード（３００）から受信し、
暗号化された前記第１のセットの変換生体データ及び暗号化された前記セッション値を解読するとともに暗号化された前記セッション値が受信したセッション値に適合することを検証し、
受信したユーザプロファイルデータに以前に登録された少なくとも一つのセットの変換生体データに対する暗号化された前記第１のセットの変換生体データの照合を行い、
照合のために以前に登録した少なくとも一つのセットの変換生体データの各々に関連するユーザインデックス及び前記セッション値を、前記ネットワークノード（３００）に提示し、
暗号化された少なくとも一つの第２のセットの変換生体データ、暗号化された前記セッション値及び前記セッション値のクリアテキストコピーを、前記ネットワークノードから受信し、
暗号化された前記少なくとも一つの第２のセットの変換生体データ及び暗号化された前記セッション値を解読するとともに暗号化された前記セッション値がクリアテキストセッション値に適合し、
以前に登録された少なくとも一つのセットの変換生体データに対する少なくとも一つの前記第２のセットの変換生体データの照合を行い、
照合のための少なくとも一つのユーザインデックスを前記セッション値と共に前記ネットワークノードに提示し、前記ユーザは、認証されていると見なされるように構成された生体データ検証ノード（４００）。
【請求項２５】
生体データ検知システム（１０１）に含まれる処理装置（１０３）によって実行されるときに請求項１〜３のいずれか一項及び／又は６〜９のいずれか一項に記載のステップを前記生体データ検知システム（１０１）によって実行させるコンピュータ実行可能な命令を備えるコンピュータプログラム（１０７）。
【請求項２６】
請求項２５に記載のコンピュータプログラム（１０７）を有するコンピュータ可読媒体（１０５）を備えるコンピュータプログラム製品。
【請求項２７】
ネットワークノード（３００）に含まれる処理装置（３０１）によって実行されるときに請求項４又は１０及び１１のいずれか一項に記載のステップを前記ネットワークノード（３００）によって実行させるコンピュータ実行可能な命令を備えるコンピュータプログラム（３０２）。
【請求項２８】
請求項２７に記載のコンピュータプログラム（３０２）を有するコンピュータ可読媒体（３０３）を備えるコンピュータプログラム製品。
【請求項２９】
生体データ検証ノード（４００）に含まれる処理装置（４０１）によって実行されるときに請求項５又は１２に記載のステップを前記生体データ検証ノード（４００）によって実行させるコンピュータ実行可能な命令を備えるコンピュータプログラム（４０２）。
【請求項３０】
請求項２９に記載のコンピュータプログラム（４０２）を有するコンピュータ可読媒体（４０３）を備えるコンピュータプログラム製品。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、安全な通信チャネルのネットワークノードを用いてユーザの生体データを登録する方法及び装置に関する。また、本発明は、登録された生体データに基づくユーザの認証を可能にする方法及び装置に関する。
【背景技術】
【０００２】
生体ベースの識別は、人間のユーザを安全に認証するユーザフレンドリーな方法である。識別のために生体データを分散システムで用いるときの生体データの一つの主な問題は、エンドユーザを識別する必要があるコンピュータシステムのノードにおいてテンプレート生体データが利用できるようにする必要があることである。これは、分散コンピュータシステムにおける主要な安全設計の課題を構成する。その理由は、これが典型的には元のクリアテキスト生体データを中央ノードに格納するとともにシステムに分散することを要求するからである。そのような解決は、元の生体データの漏洩に対して非常に脆弱であり、あるシステムで漏洩されたデータによって、同一の生体データが他の全てのシステムで漏洩されるとともに生体データが用いられる状況が生じる。生体データの簡単な暗号化はこの問題を解決しない。その理由は、認証中に元の生体データをリモート位置で利用できるようにする必要があるからである。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
したがって、生体識別に基づくリモート認証を許容するのと同時に元の生体データを保護する解決を提供する必要がある。
【課題を解決するための手段】
【０００４】
本発明の目的は、従来のこの問題を解決する又は少なくとも軽減することであり、したがって、ユーザの生体データに基づく生体データ検証ノードでのクライアント装置のユーザのリモート認証を可能にする改良された方法を提供することである。
【０００５】
この目的は、安全な通信チャネルのネットワークノードを用いてクライアント装置のユーザの生体データの登録をクライアント装置によって実行する方法による本発明の第１の態様において達成される。方法は、ユーザの生体データをキャプチャすることと、ユーザが認証される他の全てのクライアント装置と共有される第１の特徴変換鍵を用いて、生体データを、第１のセットの変換生体データに変換することと、第２の特徴変換鍵を生成することと、第２の特徴変換鍵を用いて、生体データを、第２のセットの変換生体データに変換することと、ユーザが認証される生体データ検証ノードと共有される暗号化鍵を用いて、第１のセットの変換生体データ及び第２のセットの変換生体データを暗号化することと、を備える。方法は、第１のセットの変換生体データ及び第２のセットの変換生体データが登録されるネットワークノードと共有される暗号化鍵を用いて、第２の特徴変換鍵を暗号化することと、暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データ、暗号化された第２の特徴変換鍵並びにユーザプロファイルデータを備える登録要求を、ネットワークノードに提示することと、を更に備える。
【０００６】
この目的は、安全な通信チャネルのネットワークノードを用いてクライアント装置のユーザの生体データの登録を行うように構成されたクライアント装置であって、クライアント装置は、生体データセンサ及び処理装置を備えるクライアント装置による本発明の第２の態様において達成される。生体データセンサは、ユーザの生体データをキャプチャするように構成される。処理装置は、ユーザが認証される他の全てのクライアント装置と共有される第１の特徴変換鍵を用いて、生体データを、第１のセットの変換生体データに変換し、第２の特徴変換鍵を生成し、第２の特徴変換鍵を用いて、生体データを、第２のセットの変換生体データに変換し、ユーザが認証される生体データ検証ノードと共有される暗号化鍵を用いて、第１のセットの変換生体データ及び第２のセットの変換生体データを暗号化するように構成される。処理装置は、第１のセットの変換生体データ及び第２のセットの変換生体データが登録されるネットワークノード（３００）と共有される暗号化鍵を用いて、第２の特徴変換鍵を暗号化し、暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データ、暗号化された第２の特徴変換鍵並びにユーザプロファイルデータを備える登録要求を、ネットワークノードに提示するように更に構成される。
【０００７】
この目的は、安全な通信チャネルのクライアント装置のユーザの生体データの登録をネットワークノードによって実行する方法による本発明の第３の態様において達成される。方法は、ユーザの暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データを備える登録要求をクライアント装置から受信することであって、第１のセットの生体データは、第１の特徴変換鍵によって変換され、暗号化された第２の特徴変換鍵は、第２のセットの変換生体データをユーザプロファイルデータとともに変換するために用いられることと、暗号化された第２の特徴変換鍵を解読することと、受信した第２の特徴変換鍵に対するユーザインデックスを生成することと、第２の特徴変換鍵、ユーザプロファイルデータ及びユーザインデックスを格納することと、暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データ、ユーザプロファイルデータ並びにユーザインデックスを、生体データ検証ノードに提示することと、を備える。
【０００８】
この目的は、安全な通信チャネルのクライアント装置のユーザの生体データの登録を行うように構成されたネットワークノードによる本発明の第４の態様において達成される。ネットワークノードは、処理装置を備え、処理装置は、ユーザの暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データを備える登録要求をクライアント装置から受信し、第１のセットの生体データは、第１の特徴変換鍵によって変換され、暗号化された第２の特徴変換鍵は、第２のセットの変換生体データをユーザプロファイルデータとともに変換し、暗号化された第２の特徴変換鍵を解読し、受信した第２の特徴変換鍵に対するユーザインデックスを生成し、第２の特徴変換鍵、ユーザプロファイルデータ及びユーザインデックスを格納し、暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データ、ユーザプロファイルデータ並びにユーザインデックスを、生体データ検証ノードに提示するように構成される。
【０００９】
この目的は、安全な通信チャネルのクライアント装置のユーザの生体データの登録を生体データ検証ノードによって実行する方法による本発明の第５の態様において達成される。方法は、クライアント装置のユーザの暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データを備える登録要求を、クライアント装置と通信を行うように構成されたネットワークノードから受信することであって、特徴変換鍵によって変換された生体データのセットは、生体データ検証ノード、ユーザプロファイルデータ及び受信したデータに関連するユーザインデックスにアクセス不可能であることと、暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データを解読することと、ユーザの次の認証のために第１のセットの変換生体データ及び第２のセットの変換生体データ、ユーザプロファイルデータ並びにユーザインデックスを格納することと、を備える。
【００１０】
この目的は、安全な通信チャネルのクライアント装置のユーザの生体データの登録を生体データ検証ノードによる本発明の第６の態様において達成される。生体データ検証ノードは、処理装置を備え、処理装置は、クライアント装置のユーザの暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データを備える登録要求を、クライアント装置と通信を行うように構成されたネットワークノードから受信し、特徴変換鍵によって変換された生体データのセットは、生体データ検証ノード、ユーザプロファイルデータ及び受信したデータに関連するユーザインデックスにアクセス不可能であり、暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データを解読し、ユーザの次の認証のために第１のセットの変換生体データ及び第２のセットの変換生体データ、ユーザプロファイルデータ並びにユーザインデックスを格納するように構成される。
【００１１】
この目的は、生体データに基づく安全な通信チャネルのネットワークノードを用いてクライアント装置のユーザの認証を可能にすることをクライアント装置によって実行する方法による本発明の第７の態様において達成される。方法は、ネットワークノードからセッション値を受信することと、ユーザの生体データをキャプチャすることと、認証が行われる登録された生体データを有するクライアント装置と共有される第１の特徴変換鍵を用いて、生体データを第１のセットの変換生体データに変換することと、ユーザが認証される生体データ検証ノードと共有される暗号化鍵を用いて、第１のセットの変換生体データ及び受信したセッション値を暗号化することと、ネットワークノードと共有される暗号化鍵を用いて、セッション値を暗号化することと、暗号化された第１のセットの変換生体データ、二つの暗号化されたセッション値及びユーザプロファイルデータをネットワークノードに提示することと、少なくとも一つの暗号化された第２の特徴変換鍵及びセッション値の暗号化されたものを受信することであって、少なくとも一つの第２の特徴変換鍵及びセッション値は、ネットワークノードと共有される鍵を用いて暗号化されることと、を備える。方法は、暗号化された少なくとも一つの第２の特徴変換鍵及び暗号化されたセッション値を解読するとともに解読されたセッション値が以前に受信したセッション値に適合することを検証することと、ネットワークノードと共有される少なくとも一つの第２の特徴変換鍵を用いて、生体データを少なくとも一つの第２のセットの変換生体データに変換することと、生体データ検証ノードと共有される鍵を用いて、少なくとも一つの第２のセットの変換生体データ及びセッション値を暗号化することと、暗号化された少なくとも一つの第２のセットの変換生体データ及び暗号化されたセッション値をネットワークノードに提示することであって、ネットワークノードは、クライアント装置の認証のために、提示されたデータを生体データ検証ノードに転送することと、を更に備える。
【００１２】
この目的は、生体データに基づく安全な通信チャネルのネットワークノードを用いてクライアント装置のユーザの認証を可能にするように構成されたクライアント装置による本発明の第８の態様において達成される。クライアント装置は、生体データセンサ及び処理装置を備える。処理装置は、ネットワークノードからセッション値を受信するように構成される。生体データセンサは、ユーザの生体データをキャプチャするように構成される。処理装置は、認証が行われる登録された生体データを有するクライアント装置と共有される第１の特徴変換鍵を用いて、生体データを第１のセットの変換生体データに変換し、ユーザが認証される生体データ検証ノードと共有される暗号化鍵を用いて、第１のセットの変換生体データ及び受信したセッション値を暗号化し、ネットワークノードと共有される暗号化鍵を用いて、セッション値を暗号化し、暗号化された第１のセットの変換生体データ、二つの暗号化されたセッション値及びユーザプロファイルデータをネットワークノードに提示し、少なくとも一つの暗号化された第２の特徴変換鍵及びセッション値の暗号化されたものを受信し、少なくとも一つの第２の特徴変換鍵及びセッション値は、ネットワークノードと共有される鍵を用いて暗号化され、暗号化された少なくとも一つの第２の特徴変換鍵及び暗号化されたセッション値を解読するとともに解読されたセッション値が以前に受信したセッション値に適合することを検証するように構成される。処理装置は、ネットワークノードと共有される少なくとも一つの第２の特徴変換鍵を用いて、生体データを少なくとも一つの第２のセットの変換生体データに変換し、生体データ検証ノードと共有される鍵を用いて、少なくとも一つの第２のセットの変換生体データ及びセッション値を暗号化し、暗号化された少なくとも一つの第２のセットの変換生体データ及び暗号化されたセッション値をネットワークノードに提示し、ネットワークノードは、クライアント装置の認証のために、提示されたデータを生体データ検証ノードに転送するように構成される。
【００１３】
この目的は、生体データに基づく安全な通信チャネルのクライアント装置のユーザの認証を可能にすることを生体データ検証ノードによって実行する方法による本発明の第９の態様において達成される。方法は、暗号化された第１のセットの変換生体データ、クライアント装置と共有される鍵によって暗号化されたセッション値及びユーザプロファイルデータを、クライアント装置と通信を行うように構成されたネットワークノードから受信することと、暗号化された第１のセットの変換生体データ及び暗号化されたセッション値を解読するとともに暗号化されたセッション値が受信したセッション値に適合することを検証することと、受信したユーザプロファイルデータに以前に登録された少なくとも一つのセットの変換生体データに対する暗号化された第１のセットの変換生体データの照合を行うことと、照合のために以前に登録した少なくとも一つのセットの変換生体データの各々に関連するユーザインデックス及びセッション値を、ネットワークノードに提示することと、暗号化された少なくとも一つの第２のセットの変換生体データ、暗号化されたセッション値及びセッション値のクリアテキストコピーを、ネットワークノードから受信することと、を備える。方法は、暗号化された少なくとも一つの第２のセットの変換生体データ及び暗号化されたセッション値を解読するとともに暗号化されたセッション値がクリアテキストセッション値に適合することと、以前に登録された少なくとも一つのセットの変換生体データに対する少なくとも一つの第２のセットの変換生体データの照合を行うことと、照合のための少なくとも一つのユーザインデックスをセッション値と共にネットワークノードに提示することであって、ユーザは、認証されていると見なされることと、を更に備える。
【００１４】
この目的は、生体データに基づく安全な通信チャネルのクライアント装置のユーザの認証を可能にすることを生体データ検証ノードによる本発明の第９の態様において達成される。生体データ検証ノードは、処理装置を備え、処理装置は、暗号化された第１のセットの変換生体データ、クライアント装置と共有される鍵によって暗号化されたセッション値及びユーザプロファイルデータを、クライアント装置と通信を行うように構成されたネットワークノードから受信し、暗号化された第１のセットの変換生体データ及び暗号化されたセッション値を解読するとともに暗号化されたセッション値が受信したセッション値に適合することを検証し、受信したユーザプロファイルデータに以前に登録された少なくとも一つのセットの変換生体データに対する暗号化された第１のセットの変換生体データの照合を行い、照合のために以前に登録した少なくとも一つのセットの変換生体データの各々に関連するユーザインデックス及びセッション値を、ネットワークノードに提示し、暗号化された少なくとも一つの第２のセットの変換生体データ、暗号化されたセッション値及びセッション値のクリアテキストコピーを、ネットワークノードから受信するように構成される。処理装置は、暗号化された少なくとも一つの第２のセットの変換生体データ及び暗号化されたセッション値を解読するとともに暗号化されたセッション値がクリアテキストセッション値に適合し、以前に登録された少なくとも一つのセットの変換生体データに対する少なくとも一つの第２のセットの変換生体データの照合を行い、照合のための少なくとも一つのユーザインデックスをセッション値と共にネットワークノードに提示し、ユーザは、認証されていると見なされるように構成される。
【００１５】
有利に、本発明により、生体認証（ｂｉｏｍｅｔｒｉｃｓ）をクリアテキスト照合バックエンドサーバに明らかにすることなく多くのユーザ群の集中的な照合（ｃｅｎｔｒａｌ  ｍａｔｃｈｉｎｇ）を可能にする。
【００１６】
手短に言えば、アプリケーションサーバに変わって識別決定を行うために集中照合サーバに保持されている保護された（例えば、変換又は暗号化された）生体テンプレートデータを用いる方法を開示する。
【００１７】
さらに、照合は、複数ステップのアプローチで変換／暗号化されたスペース又は環境で行われる。
【００１８】
本発明は、第１の変換を用いる事前照合と第２の変換に対する最終照合を組み合わせることによって、効果的であり、高性能であり、かつ、非常に安全な集中的な照合を可能にする。集中照合サーバは、クリアテキスト生体データの処理を全く行わず、それにもかかわらず、従来の生体照合技術を用いて多くのユーザセットに対する効率的な照合を行うことができる。
【００１９】
システムを攻撃することを試みる攻撃者は、クリアテキスト生体データに対するアクセスを得るためにアプリケーションサーバと照合サーバの両方を攻撃する必要があり、クリアテキスト生体データは、エンドユーザから生体情報を読み出すノードを除くノードのいずれかの任意のタイプのメモリには決して記憶されない。しかしながら、エンドユーザは、エンドユーザのデータを生体リーダ（ｂｉｏｍｅｔｒｉｃｓ  ｒｅａｄｅｒ）に提示すると仮定されるので、このデータは、あらゆるシステムにおいて、ユーザが識別されようとするときに常にノードに一時的に存在する。システムのあらゆる位置において生体データがクリアテキストで永久的に記憶されることはない。
【００２０】
生体データの一部のみがアプリケーション広域変換鍵（ａｐｐｌｉｃａｔｉｏｎ  ｗｉｄｅ  ｔｒａｎｓｆｏｒｍ  ｋｅｙ）を用いて変換されるとともに、完全な生体テンプレートデータが個別の変換鍵と共に記憶される。この鍵の保存場所を攻撃するだけでは攻撃者が個別のエンドユーザの生体データにアクセスすることができない又はシステムの個人になりすますことができない。照合保管場所に対する攻撃者がエンドユーザの生体データを取得することもできない。
【００２１】
一般的には、特許請求の範囲で用いられる全ての用語を、ここで明確に規定しない場合を除いて、技術分野の普通の意味に従って解釈すべきである。素子、装置、構成要素、手段、ステップ等に対する全ての言及は、明確に規定しない場合を除いて、素子、装置、構成要素、手段、ステップ等の少なくとも一つの例を言及するものとして率直に解釈すべきである。ここに開示したいずれかの方法のステップを、明確に述べない場合を除いて、開示した正確な順番で実行する必要はない。
【００２２】
本発明を、添付図面を参照しながら例として説明する。
【図面の簡単な説明】
【００２３】
【図１】本発明を実現することができるスマートフォンの形態の電子装置を示す。
【図２】ユーザが指を配置する指紋センサの図である。
【図３】一実施の形態による指紋検知システムの一部である指紋センサを示す。
【図４】一実施の形態による信頼できるサーバにおけるユーザの変換生体データを登録する情報伝達図である。
【図５】他の実施の形態による登録された変換生体データに基づくユーザの認証の情報伝達図である。
【発明を実施するための形態】
【００２４】
以下、本発明を、本発明の所定の実施の形態を示す添付図面を参照しながら更に説明する。しかしながら、本発明を、多数の異なる形態で実施してもよく、ここで説明する実施の形態に限定されるものと解釈すべきでなく、これらの実施の形態は、本開示が詳細かつ完全であるとともに本発明の範囲を当業者に伝えるように例として設けられる。説明において同様な番号は同様な素子を言及する。
【００２５】
図１は、本発明を実現することができるスマートフォンの形態のクライアント装置１００を示す。スマートフォン１００は、指紋センサ１０２と、タッチスクリーンインタフェース１０６を有する表示装置１０４と、を備える。指紋センサ１０２を、例えば、携帯電話１００のロック解除及び／又は携帯電話１００を用いて実行される取引の許可等を行うのに用いてもよい。指紋センサ１０２を、携帯電話１００の背面に配置してもよい。指紋センサ１０２を表示装置／タッチスクリーンに統合することができる又は指紋センサ１０２がスマートフォンホームボタンの一部を形成できることに留意されたい。
【００２６】
本発明の実施の形態による指紋センサ１０２をラップトップ、リモートコントローラ、タブレット、スマートカード等のような他のタイプの電子装置又は指紋検知を利用する他のタイプの現在若しくは将来の同様に構成された装置で実現してもよいことを理解すべきである。
【００２７】
図２は、ユーザがユーザの指２０１を配置する指紋センサ１０２の拡大図を示す。容量性検知技術を用いる場合、指紋センサ１０２は、複数の検知素子を備えるように構成される。（画素とも称される）単一の検知素子を、図２において参照番号２０２で示す。
【００２８】
図３は、指紋検知システム１０２の一部である指紋センサ１０２を示す。指紋検知システム１０１は、指紋センサ１０２と、指紋センサ１０２を制御するとともにキャプチャした指紋を分析するマイクロプロセッサのような処理装置３０１と、を備える。指紋検知システム１０１は、メモリ１０５を更に備える。指紋検知システム１０１は、典型的には、図１に例示するような電子装置１００の一部を形成する。
【００２９】
指紋センサ１０２に接触する物体に応答して、センサ１０２は、物体が許可されたユーザの指紋であるか否かを決定するために物体の画像をキャプチャし、キャプチャさあれた指紋と、メモリ１０５に予め記憶された一つ以上の許可された指紋テンプレートとを比較する。
【００３０】
指紋センサ１０２を、例えば、容量性検知技術、光学式検知技術、超音波検知技術又は熱検知技術を含む任意の種類の現在又は将来の指紋検知原理を用いて実現してもよい。現在、容量性検知が、特に寸法及び電力消費が重要であるアプリケーションにおいて最も一般的に用いられる。容量性指紋センサは、複数の検知素子２０２と指紋センサ１０２の表面に配置された指２０１の間（図２参照）の容量の誘導測定を提供する。指紋画像の取得は、典型的には、２次元に配置された複数の検知素子２０２を備える指紋センサ１０２を用いて行われる。
【００３１】
代替的には、ユーザの生体データを、例えば、虹彩認識センサ又は顔認識センサのような指紋センサ以外の装置を用いてキャプチャしてもよい。虹彩認識センサ又は顔認識センサと組み合わせた指紋センサのようなセンサの組合せを用いることも想定される。
【００３２】
一般的な認証プロセスにおいて、指紋センサを用いる場合、ユーザは、センサがユーザの指紋の画像をキャプチャするためにセンサ１０２にユーザの指２０１を配置する。処理装置１０３は、キャプチャした指紋を判断し、キャプチャした指紋と、メモリ１０５に記憶された一つ以上の認証された指紋テンプレートとを比較する。記録された指紋が予め記憶されたテンプレートと一致する場合、ユーザは認証され、処理装置１０３は、典型的には、ユーザがスマートフォン１００にアクセスするのを許可するロックモードからロック解除モードへの遷移のような適切な動作を行うようにスマートフォン１００に命令する。
【００３３】
図３を再び参照すると、センサ１０２によって実行される画像のキャプチャは別として）指紋検知システム１０１によって実行される方法のステップは、実際には、ランダムアクセスメモリ（ＲＡＭ）、フラッシュメモリ又はハードディスクドライブのようなマイクロプロセッサに関連した記憶媒体１０５にダウンロードされたコンピュータプログラムを実行するために配置された一つ以上のマイクロプロセッサの形態で実現される処理装置１０３によって実行される。処理装置１０３は、コンピュータ実行可能な命令を備える適切なコンピュータプログラム１０７が記憶媒体１０５にダウンロードされるとともに処理装置１０３によって実行されるときに実施の形態による方法を指紋検知システム１０１によって実行させるために配置される。記憶媒体１０５は、コンピュータプログラム１０７を備えるコンピュータプログラム製品であってもよい。代替的には、コンピュータプログラム１０７を、デジタル多用途ディスク（ＤＶＤ）又はメモリスティックのような適切なコンピュータプログラム製品によって記憶媒体１０５に移動させてもよい。更に別の代替として、コンピュータプログラム１０７を、ネットワークを通じて記憶媒体１０５にダウンロードしてもよい。処理装置１０３を、代替的には、デジタルシグナルプロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、結合プログラム可能論理回路（ＣＰＬＤ）等の形態で実現してもよい。処理装置１０３によって提供される一部又は全ての機能を指紋センサ１０２において少なくとも部分的に統合してもよい。
【００３４】
図４は、アプリケーションサーバ（ＡＳ）３００と称されるネットワークノードを用いて安全な通信チャネルの第１のクライアント装置１００のユーザ２００の生体データを登録する一実施の形態を示す。アプリケーションサーバ３００は、生体信頼サーバ（ｂｉｏｍｅｔｒｉｃｓ  ｔｒｕｓｔｅｄ  ｓｅｒｖｅｒ）（ＢＴＳ）４００にユーザ２００の生体データの一部を登録する。
【００３５】
手短に言えば、例えば、スマートフォンの形態で実現される第１のクライアント装置１００は、例えば、図１〜３を参照しながら説明されるようにユーザ２００の生体データをキャプチャする。この生体データは、スマートフォンで保護され、遠隔配置された信頼できるＡＳ３００によって安全に登録され、ＡＳ３００は、（生体データでない）受信したデータのサブセットを記憶し、生体データをＢＴＳ４００に転送する。次に、ユーザ２００は、ローカルコンピューティングステーション５００、すなわち、第２のクライアント装置で自身を認証し、この際に、コンピューティングステーション５００は、ユーザの生体データをキャプチャし、キャプチャした生体データを保護し、ＢＴＳ４００は、保護された生体データのＢＴＳに以前に登録した保護された生体データに対する（ＡＳ３００を介して）照合を行う。
【００３６】
例えば、ＡＳ３００は、ユーザ２００がアクセスしたい一つ以上のサービスを提供してもよく、そのようなサービスは、ユーザ２００が個人識別番号（ＰＩＮ）の代わりに生体データを用いて自身を認証する電子商取引サービスであり、この場合、電子商取引サービスを介して購入した商品の支払いが行われる。
【００３７】
これは、遠隔認証手順をサポートする任意の（信頼できる）装置を用いて生体情報を提示することによって本発明によるログイン手順を提供するＡＳ３００によって提供されるリモートウェブサービスにユーザがログインできることを意味する。したがって、ユーザが任意のユーザネーム及び／又はパスワード又は所定のハードウェアトークンを保持するための任意の要求を思い出す必要がなく、ログインに用いられるクライアント装置に記憶される特定目的の識別プログラム又は認証情報を有する必要がない。
【００３８】
認証が成功すると、ユーザ２００は、ＡＳ３００によって提供されるサービスに対するアクセスが与えられる。ユーザ２００の生体データのクリアテキストコピーがスマートフォン１００又はローカルコンピューティングステーション５００から決して離れないことに留意されたい。ＡＳ３００が複数のサービスを提供すること及び種々のサービスを異なる識別されたユーザに提供してもよいことが想定される。
【００３９】
ユーザ２００の認証プロセスを第１のクライアント装置１００すなわちユーザ２００の生体データを登録した同一の装置で行ってもよい。
【００４０】
スマートフォン１００の使用の代替としてユーザがローカルコンピューティングステーション５００のうちの一つを介したＡＳ３００を用いて登録を行うこともできる。
【００４１】
他の例として、ＡＳ３００は、レンタカー会社のようなサービスプロバイダに属し、第２のクライアント装置５００を、生体リーダを用いる車の鍵装置において実現することができる。この用途に用いるとき、本発明によって、レンタカー会社は、顧客を完全にオンラインで処理することができ、車の鍵が盗まれるリスクを高くすることなく安全でない場合（営業時間外及び遠隔地）においても顧客が利用できる車の鍵を、特定の車を実際に注文するとともにそれに対する支払いを行うユーザによってアクティブにすることができる。ユーザの生体データがレンタカー会社に移されたとしても、車の鍵装置の外でレンタカー会社がユーザの生体データを利用できないことが保証されるので、ユーザはシステムを信頼することができ、これによって、安全である推定することができる。図４を参照すると、ステップＳ１０１において、スマートフォン１００は、例えば、図１〜３を参照して説明したような指紋センサ又は虹彩認識センサ若しくは顔認識センサを用いて、ユーザ２００の生体データＴをキャプチャする。
【００４２】
ステップＳ１０２において、スマートフォン１００は、適切な特徴変換形態を用いて、すなわち、元の生体テンプレート表現及び適切な変換パラメータを入力パラメータとして取り出すとともに変換生体テンプレート情報を出力として生成する「特徴変換」関数を選択することによって、キャプチャした生体データＴを第１の変換生体データセットＴｒ１に変換する。
【００４３】
これを、例えば、適切な疑似ランダム関数（ＰＲＦ）によってスマートフォン１００で生成される秘密の第１の特徴変換鍵Ｒ１を用いて実行する。代替的には、スマートフォン１００は、秘密の第１の特徴変換鍵Ｒ１が予め設定される又はＡＳ３００によって秘密の第１の特徴変換鍵Ｒ１が供給される。登録中に用いられる第１の特徴変換鍵Ｒ１は、ローカルコンピューティングステーション５００のようなユーザが認証される他の全てのクライアント装置と共有される必要がある。したがって、第１の変換生体データセットは、Ｔｒ１＝Ｆ（Ｒ１，Ｔ）で表される。
【００４４】
ステップＳ１０３において、スマートフォン１００は、第２の特徴変換鍵Ｒ２を生成し、ステップＳ１０４において、スマートフォン１００は、キャプチャした生体データＴに基づいて第２の変換生体データセットを作成する。Ｔｒ２＝Ｆ（Ｒ２，Ｔ）。
【００４５】
第２の特徴変換鍵Ｒ２は、登録された第２の変換生体データセットＴｒ２のそれぞれに対して独自のものであり、ユーザがシステムを用いて複数のキャプチャした生体データセットＴを登録してもよいことに留意されたい。
【００４６】
ステップＳ１０５において、第１のセットの変換生体データ及び第２のセットの変換生体データＴｒ１，Ｔｒ２を、ＢＴＳ４００と共有される暗号鍵ＫＥDIBTSによって暗号化し、ｃ１＝ＥＯ（Ｔｒ１、Ｔｒ２，ＫＥDIBTS）で表す。
【００４７】
一実施の形態において、ＢＴＳ４００と共有される対称鍵ＫＩDIBTSによる認証をｃ１に与えてもよく、これによって、メッセージ認証コード（ＭＡＣ）を提供する、又は、スマートフォン１００の非対称秘密鍵による認証をｃ１に与えてもよく、これによって、（スマートフォン１００の対応する公開鍵をＢＴＳ４００に提供する必要があることを意味する）デジタル署名を提供する。
【００４８】
さらに、ステップＳ１０６において、スマートフォンは、第１のセットの変換生体データ及び第２のセットの変換生体データが登録されるＡＳ３００と共有される暗号鍵ＫＥDIAによって債２の特徴変換鍵Ｒ２を暗号化し、ｃ２＝ＥＯ（Ｒ２，ＫＥDIA）で表す。
【００４９】
一実施の形態において、ＡＳ３００と共有される対称鍵ＫＩDIASによる認証がｃ２に与えられ、これによって、ＭＡＣを提供する、又は、クライアント装置２００の非対称秘密鍵による認証がｃ２に与えられ、これによって、（スマートフォン１００の対応する公開鍵をＡＳ３００に提供する必要があることを意味する）デジタル署名を提供する。
【００５０】
最後に、ステップＳ１０７において、スマートフォン１００は、安全なチャネル、すなわち、機密性及びインテグリティに関して保護される通信チャネルを介して、例えば、インターネットを介して、暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データｃ１、暗号化された第２の特徴変換鍵ｃ２並びにユーザプロファイルデータｄを備える登録要求を、ＡＳ３００に提示する。ユーザプロファイルデータｄは、例えば、ユーザ名、地理的位置、ネットワーク等の形態で実現してもよい。
【００５１】
一実施の形態において、ユーザプロファイルデータｄは、第２の特徴変換鍵と共に暗号化され、したがって、ｃ２に含まれる。ｃ２＝ＥＯ（Ｒ２，ｄ，ＫＥDIA）。
【００５２】
したがって、ＡＳ３００は、暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データｃ１、暗号化された第２の特徴変換鍵ｃ２並びにユーザプロファイルデータｄを受信し、ステップＳ１０８において、クリアテキストの第２の特徴変換鍵Ｒ２を取得するために、暗号化された第２の特徴変換鍵を解読する（場合によっては、ｃ２の与えられた認証を検証する）。
【００５３】
その後、ステップＳ１０９において、ＡＳ３００は、受信した第２の特徴変換鍵Ｒ２に対する独自のユーザインデックスｕを生成し、ステップＳ１１０において、第２の特徴変換鍵Ｒ２、ユーザプロファイルデータｄ２及びユーザインデックスｕを格納する。この場合、スマートフォン１００が複数の生体テンプレートを登録し、対応する受信した第２の特徴変換鍵Ｒ２の各々に対して独自のユーザインデックスが生成されることに留意されたい。
【００５４】
さらに、ステップＳ１１１において、ＡＳ３００は、暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データｃ１、ユーザプロファイルデータｄ並びにユーザインデックスｕを、安全な通信チャネルを介してＢＴＳ４００に提示する。
【００５５】
登録手順の最終ステップにおいて、ＢＴＳ４００は、第１のクライアント装置１００のユーザ２００の暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データｃ１、ユーザプロファイルデータｄ並びに受信したデータに関連するユーザインデックスｕを備える登録要求を、ＡＳ３００から受信し、ステップＳ１１２において、スマートフォン１００と共有される鍵ＫＥＤＩＢＴＳを用いて、暗号化された第１のセットの変換生体データ及び第２のセットの変換生体データを解読する（場合によっては、ｃ１の与えられた認証を検証する）。
【００５６】
その後、ステップＳ１１３において、ＢＴＳ４００は、第１のセットの変換生体データ及び第２のセットの変換生体データＴｒ１，Ｔｒ２、ユーザプロファイルデータｄ並びにユーザインデックスｕを格納する。
【００５７】
結果的には、ＢＴＳ４００は、第１の特徴変換鍵Ｒ１と第２の特徴変換鍵Ｒ２のいずれにも悪背視せず、したがって、生体データＴのクリアテキストコピーを取得できない。
【００５８】
ここで、ローカルコンピューティングステーション５００を介してＡＳ３００の上述したサービスのいずれかにアクセスしたいユーザは、図５の情報伝達図を参照しながら説明するようにユーザを以前に登録したＢＴＳ４００を用いて、ＡＳ３００を介して自身を認証する必要がある。
【００５９】
したがって、ユーザ２００（この特定の例においてユーザ２００がステップＳ１０１〜Ｓ１０７で信頼できるサーバを用いて登録されたと仮定される。）は、ステップＳ２０１において、第２のクライアント装置すなわちローカルコンピューティングステーション５００のユーザ２００を認証するためにＡＳ３００に要求を提示してもよい。
【００６０】
それに応答して、ローカルステーション５００は、認証プロセス中にセキュリティを向上させるために用いられるステップＳ２０２において、セッション値ｑをＡＳ３００から受信する。認証プロセス中、セッション値ｑは、パーティ間の通信の各ラウンドにおいて関連するパーティによって検証され、ｑの正確性をある時点で検証できない場合、動作を途中停止する。
【００６１】
ステップＳ２０２でセッション値ｑをローカルステーション５００に提示することによって、実際に認証要求をＡＳ３００に提示するユーザではなくＡＳ３００が認証セッションを開始することに留意されたい。そのような状況において、ステップＳ２０１は省略される。
【００６２】
ステップＳ２０３において、（適切な生体センサを備える）ローカルステーション５００は、ユーザ２００の生体データＴ’をキャプチャし、ステップＳ２０４において、第１のセットの変換生体データＴｒ１の登録中にスマートフォン１００によって用いられる第１の特徴変換鍵Ｒ１を用いて、キャプチャした生体データＴ’を第１の変換生体データセットＴｒ１’に変換する。Ｔｒ１’＝Ｆ（Ｔ’，Ｒ１）。
【００６３】
さらに、ステップＳ２０５において、ローカルステーション５００は、ユーザ２００が認証されるＢＴＳ４００と共有される鍵ＫＥD2BTSを用いて、第１のセットの変換生体データＴｒ１’及びセッション値ｑを暗号化し、ｃ３＝ＥＯ（Ｔｒ１’、ｑ、ＫＥD2BTS）で表す。
【００６４】
一実施の形態において、ＢＴＳ４００と共有される対称鍵ＫＩD2BTSによる認証がｃ３に与えられ、これによって、ＭＡＣを提供する、又は、ローカルステーション５００の非対称秘密鍵による認証がｃ３に与えられ、これによって、（ローカルステーション５００の対応する公開鍵をＢＴＳ４００に提供する必要があることを意味する）デジタル署名を提供する。
【００６５】
また、ステップＳ２０６において、ローカルステーション５００は、ＡＳ３００と共有される鍵ＫＥＤ２Ａを用いてセッション値ｑを暗号化し（ｃ４＝ＥＯ（ｑ，ＫＥD2A））、ステップＳ２０７において、ｃ３及びｃ４を、この特定のユーザ２００に対する既に登録されたユーザプロファイルデータｄに対応するユーザプロファイルデータｄ’と共にＡＳ３００に提示する。
【００６６】
一実施の形態において、ＡＳ３００と共有される対称鍵ＫＩD2ASによる認証がｃ４に与えられ、これによって、ＭＡＣを提供する、又は、ローカルステーション５００の非対称秘密鍵による認証がｃ４に与えられ、これによって、（ローカルステーション５００の対応する公開鍵をＡＳ３００に提供する必要があることを意味する）デジタル署名を提供する。
【００６７】
したがって、ＡＳ３００は、ローカルステーション５００とＢＴＳ４００の間で共有される鍵ＫＥD2BTSによって暗号化されるユーザ２００の暗号化された第１のセットの変換生体データ及び暗号化されたセッション値並びにローカルステーション５００とＢＴＳ４００の間で共有される鍵ＫＥD2Aによって暗号化されるセッション値を、ユーザプロファイルデータｄ’と共に受信する。
【００６８】
ＡＳ３００は、受信した暗号化されたセッション値ｃ４＝ＥＯ（ｑ，ＫＥD2A）をステップＳ２０８で解読するとともに解読したセッション値がステップＳ２０２でローカルステーション５００に送信されたセッション値ｑに適合することを検証する（場合によっては、ｃ４の与えられた認証を検証する）。
【００６９】
その後、ステップＳ２０９において、ＡＳ３００は、暗号化された第１のセットの変換生体データ、暗号化されたセッション値すなわちｃ３＝ＥＯ（Ｔｒ１’，ｑ，ＫＥD2BTS）、ユーザプロファイルデータｄ’及びセッション値ｑをＢＴＳ４００に提示する。
【００７０】
ＢＴＳ４００は、ステップＳ２１０において、暗号化された第１のセットの変換生体データ及び暗号化されたセッション値ｃ３＝ＥＯ（Ｔｒ１’，ｑ，ＫＥD2BTS）を解読するとともに暗号化されたセッション値が受信したセッション値ｑに適合することを検証する（場合によっては、ｃ３の与えられた認証を検証する）。
【００７１】
その後、ステップＳ２１１において、ＢＴＳ４００は、受信したユーザプロファイルデータｄ’すなわちｄ’＝ｄに以前に登録された少なくとも一つのセットの変換生体データＴｒ１に対する暗号化された第１のセットの変換生体データＴｒ１’の照合を行う。
【００７２】
ＢＴＳ４００が典型的には多数の登録を格納し、数戦のユーザがＢＴＳによって登録されていることに留意されたい。したがって、ＢＴＳ４００に格納された複数の登録された変換生体データセットＴｒ１iが受信した第１のセットの変換生体データＴｒ１’に照合されると考えてもよい。これらを候補登録セットと称する。
【００７３】
したがって、候補登録セットを構成する変換生体データセットの照合の各々に対して、ＢＴＳ４００は、ステップ２１２において、関連のユーザインデックスｕiを、セッション値ｑと共にＡＳ３００に戻す。
【００７４】
したがって、「事前照合」が、十分な候補登録セットをフェッチするために受信した第１のセットの変換生体データＴｒ１’を利用するＢＴＳ４００で有利に行われ、事前照合が行われない状況より著しく減少した数の候補登録セットをコンピューティングステーション５００によって考察するだけでよいという効果を奏する。
【００７５】
この場合、ユーザインデックスｕi及びセッション値ｑを受信すると、ＡＳ３００は、ステップＳ２１３において、セッション値ｑがステップＳ２０９でＡＳ４００に以前に送信されたセッション値に適合することを検証する。
【００７６】
受信したユーザインデックスｕiの各々に対して、ＡＳ３００は、ステップＳ２１４において、特定のユーザインデックスｕiの各々に関連する以前に登録された第２の特徴変換鍵Ｒ２を適切な記憶装置からフェッチし、ステップＳ２１５において、登録した第２の特徴変換鍵Ｒ２i及びセッション値ｑを、ローカルステーション５００と共有される鍵ＫＥD2Aによって暗号化し（ｃ５＝ＥＯ（Ｒ２i，ｑ，ＫＥD2A）、ステップＳ２１６において、ｃ５をローカルステーション５００に提示する。
【００７７】
一実施の形態において、ＡＳ３００と共有される対称鍵ＫＩD2ASによる認証がｃ５に与えられ、これによって、ＭＡＣを提供する、又は、ローカルステーション５００の非対称秘密鍵による認証がｃ５に与えられ、これによって、（ローカルステーション５００の対応する公開鍵をＡＳ３００に提供する必要があることを意味する）デジタル署名を提供する。
【００７８】
ローカルステーション５００は、ステップＳ２１７において、暗号化された少なくとも一つの第２の特徴変換鍵及び暗号化されたセッション値ｃ５を、共有鍵ＫＥD2Aを用いて解読し、解読されたセッション値ｑがステップＳ２０２で以前に受信したセッション値に適合することを検証する（場合によっては、ｃ５の与えられた認証を検証する）。
【００７９】
ローカルステーション５００は、ステップＳ２１８において、受信した第２の特徴変換鍵Ｒ２iを用いて、キャプチャした生体データＴ’を対応する数ｉの第２のセットの変換生体データＴｒ２’＝（Ｔ’，Ｒ２i）に変換し、ステップＳ２１９において、ＢＴＳ４００と共有される鍵を用いて、少なくとも一つの第２のセットの変換生体データ及びセッション値を暗号化し（ｃ６＝ＥＯ（Ｔｒ２’，ｑ，ＫＥD2BTS）、ステップＳ２２０において、最終照合のためにｃ６をＡＳ３００に提示する。
【００８０】
一実施の形態において、ＢＴＳ４００と共有される対称鍵ＫＩD2BTSによる認証がｃ６に与えられ、これによって、ＭＡＣを提供する、又は、ローカルステーション５００の非対称秘密鍵による認証がｃ６に与えられ、これによって、（ローカルステーション５００の対応する公開鍵をＢＴＳ００に提供する必要があることを意味する）デジタル署名を提供する。
【００８１】
ＡＳ３００は、ステップＳ２２１において、最終照合のためにｃ６及びセッション値ｑをＢＴＳ４００に転送する。ＡＳ３００は、候補登録セットをステップＳ２１２でＢＴＳ４００から受信したのと同一の順番でｃ６、すなわち、第２のセットの変換生体データＴｒ２i’のそれぞれを転送してもよい。そうである場合、ＢＴＳ４００は、照合を行うときにどの特定のユーザインデックスｕiが第２のセットの変換生体データＴｒ２i’のそれぞれに属するかを知る。
【００８２】
ＢＴＳ４００は、ステップＳ２２において、暗号化された少なくとも一つの第２の特徴変換鍵及び暗号化されたセッション値ｃ６を解読し、解読されたセッション値ｑがクリアテキストセッション値に適合することを検証する（場合によっては、ｃ６の与えられた認証を検証する）。
【００８３】
その後、ステップＳ２２３において、ＢＴＳ４００は、ユーザインデックスｕiに対して以前に登録された対応する第２のセットの変換生体データＴｒ２iに対する暗号化された第２のセットの変換生体データＴｒ２i’の照合を行う。少なくとも一つの第２のセットの変換生体データＴｒ２は各ユーザ−数百人又は数千人に達する人数のユーザに対して登録されているので、照合は、データ処理の観点から煩わしい作業となることがある。
【００８４】
最後に、ＢＴＳ４００は、ステップＳ２２４において、照合のための少なくとも一つのユーザインデックスｕiをセッション値ｑと共にＡＳ３００に提示する。受信したユーザインデックス（又は複数のユーザインデックス）から、ＡＳ３００は、関連するユーザプロファイルデータｄからユーザ２００を識別することができる。
【００８５】
第２のセットの変換生体データＴｒ２i’の少なくとも一つが登録された第２のセットの変換生体データＴｒ２に一致したという確認の受信に応答して、ＡＳ３００は、ローカルステーション５００のユーザ２００が認証（されるととのに受信したユーザインデックスに関連したユーザプロファイルデータｄによって識別）されたと結論付け、ステップＳ２２５において、確認をローカルステーション５００に送信し、この場合、例えば、コンピューティングステーション５００を介して、ＡＳ３００によって提供されるサービスに対するアクセスがユーザ２００に与えられる。
【００８６】
有利には、上記から結論付けられるように、クリアテキスト生体データがクライアント装置１００，５００から取り出されることがなく、同時に、安全な認証が提供され、これによって、システムの使用の際のユーザの信頼性が著しく上がる。
【００８７】
本発明を、主に少数の実施の形態を参照しながら上述した。しかしながら、当業者には容易に理解できるように、添付した特許請求の範囲によって規定したような本発明の範囲内で、上述した実施の形態以外の実施の形態も可能である。
【図１】
2021505034.tif 000003
【図２】
2021505034.tif 000004
【図３】
2021505034.tif 000005
【図４】
2021505034.tif 000006
【図５】
2021505034.tif 000007
【国際調査報告】
2021505034.tif 000008
2021505034.tif 000009
2021505034.tif 000010
2021505034.tif 000011
2021505034.tif 000012