(57)【要約】【課題】      複数の登録者のそれぞれを識別可能にした固有情報を表すテンプレート要素データを記憶領域における所定の格納位置に格納するデータベース形式において、不正侵入についての対策を可能とする格納方法等を提供する。【解決手段】  管理システム１は管理装置３と記憶部５とを備え、管理装置３はＢＥＦＦデータ管理サーバ７とＢＳＭＢデータ管理サーバ９とを有し、情報通信ネットワークであって外部ネットワークと通信可能な状態であり、オープン環境に適用される。ＢＳＭＢデータ管理サーバ９は演算部１１を有し、記憶部５は、ＳＢＨ・ＳＢストレージ１３と、ＢＳＭＢストレージ１５と、格納位置マップ・ストレージ１７とを有する。ＣＢＥＦＦデータ管理サーバ７はＳＢＨ・ＳＢストレージ１３にアクセス可能であり、ＢＳＭＢデータ管理サーバ９は、ＢＳＭＢストレージ１５及び格納位置マップ・ストレージ１７にアクセス可能である。【選択図】  図１
2008102876.tif 000002
【特許請求の範囲】
【請求項１】
複数の登録者のそれぞれを識別可能にした固有情報を表すテンプレート要素データを記憶領域における所定の格納位置に格納する格納方法であって、
前記各登録者に対してテンプレート要素データが少なくとも１つ対応しており、
演算手段が前記各登録者に対応するテンプレート要素データを格納すべき格納位置を特定するインデックス情報を演算する第１ステップと、
記憶手段が前記第１ステップにより演算されたインデックス情報により特定された格納位置にそれぞれのテンプレート要素データを格納する第２ステップとを含み、
前記第１ステップでは、
前記演算手段が前記複数の登録者のいずれかに対応するテンプレート要素データが複数の場合において当該複数のテンプレート要素データの格納位置の間に他の登録者に対応するテンプレート要素データを格納すべく前記インデックス情報を演算することを特徴とする、格納方法。
【請求項２】
前記テンプレート要素データが格納される記憶領域とは異なる他の記憶領域に記憶手段が前記演算されたインデックス情報を格納する第３のステップを含む、請求項１記載の格納方法。
【請求項３】
請求項１又は２記載の格納方法をコンピュータに実行させることが可能なプログラム。
【請求項４】
複数の登録者のそれぞれを識別可能にした固有情報を表すテンプレート要素データを記憶領域における所定の格納位置に格納してデータを管理するデータ管理システムであって、
請求項１記載のインデックス情報により特定された格納位置にそれぞれのテンプレート要素データを格納する第１記憶部と、
前記第１記憶部とは分離された記憶部であってインデックス情報を格納する第２記憶部と、
前記各登録者に対応する前記第１記憶部に記憶されたテンプレート要素データを前記第２記憶部に記憶されたインデックス情報に基づいて管理する管理装置とを備えた、データ管理システム。
【請求項５】
外部情報通信ネットワークに直接に接続又は他の管理装置を介して接続した請求項４記載の管理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、格納方法、その格納方法をコンピュータに実行させることが可能なプログラム、データ管理システム、及び管理装置に関し、特に、複数の登録者のそれぞれを識別可能にした固有情報を表すテンプレート要素データを記憶領域における所定の格納位置に格納する格納方法等に関する。
【背景技術】
【０００２】
近年、登録者の身体的行動的特徴に基づくバイオメトリック認証（生体認証）が注目されている。日本国内でもすでに一部の金融機関のＡＴＭや管理施設への入室管理、情報システムのアクセス管理や電子パスポートにおいて取り入れられている。このようにバイオメトリック認証は一般社会に急速に普及しつつある。
【０００３】
その一方で高度なプライバシ問題を生じる可能性が指摘されている。すなわち、テンプレートなどの登録情報の中には個人識別の情報だけでなく登録者の性別，健康状態などの副次的かつ高度なプライバシに関する情報を含んでいる場合が多い。また、バイオメトリック情報が漏洩などによって危殆化した場合、パスワードや公開鍵の場合と異なり、登録情報の交換は不可能である。したがってバイオメトリクスの認証情報の取扱には、情報の漏洩防止の観点から十分注意を払う必要がある。
【０００４】
一般のバイオメトリック認証システムにおいて、登録テンプレートは登録者の所持するスマートカードか、集中管理のデータベースに格納される。前者の場合、スマートカードが耐タンパ性を持つため、格納データへの不正アクセスに対する安全性は当該スマートカードのアクセス制御に依拠する。他方、データベースの場合には、アクセス制御や格納データの暗号化によって、テンプレート情報を保護しているが、これはアクセス制御によりデータベースへの不正アクセスを防ぎ、格納データの暗号化によって、漏洩時の不正使用を防止することで、登録テンプレートを保護していると考えることができる。
【０００５】
現在、主としてバイオメトリクスは上述のようにクローズ環境での認証に利用されているが、今後インターネットバンキングなどオープン環境での利用への期待が高まっている。オープン環境用のバイオメトリクスについては、近年システム要件、データ形式の研究（非特許文献１〜４参照）や、国際標準化（非特許文献５、６参照）が進んでいる。
【０００６】
【非特許文献１】池田竜朗、森尻智昭、才所敏明、“本人確認環境認証方式の提案”、コンピュータセキュリティシンポジウム2002、  pp．337-342、  Oct.  2002.
【非特許文献２】磯部義明、瀬戸洋一、“PKIとバイオメトリクスを連携した本人認証の課題と要件”、2004年暗号と情報セキュリティシンポジウム、  pp．561-566、  Jan.  2004.
【非特許文献３】Yoshifumi  Ueshige、  Kouichi  Sakurai、  “A  Study  on  a  Framework  of  Online  Biometric  Authentication  with  Verification  of  Personal  Repository”、  The  4th  Applied  Public  Key  Infrastructure、  IOS  Press、  pp.155-169、  Sep.  2005.
【非特許文献４】Yoshifumi  Ueshige、  Kouichi  Sakurai、  “A  Proposal  of  One-Time  Biometric  Authentication”、  The  2006  International  Conference  on  Security  &  Management  (SAM’06)、  pp.78-83、  Jun.  2006.
【非特許文献５】“Authentication  Context  for  Biometrics”、  ISO/IEC  WD24761.2,
【非特許文献６】“Baseline  document  for  Telebiometrics  System  Mechanism”、  ITU-T  Q8/SG17、  Apr.  2005
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、オープン環境用のバイオメトリクスについて、上記ではデータベースのセキュリティについて言及されていない一方、今後、オープン環境用バイオメトリクスにも適用することは大きな時流であり、その場合においては攻撃者がデータベースへ不正侵入した場合を想定しなければならない。
【０００８】
攻撃者がデータベースへ不正侵入した場合には、格納された登録テンプレートの不正使用の問題、またプライバシ保護の問題について対策が必要となる。
【０００９】
ゆえに、本発明は、複数の登録者のそれぞれを識別可能にした固有情報を表すテンプレート要素データを記憶領域における所定の格納位置に格納するデータベース形式において、上記不正侵入についての対策を可能とする格納方法、その格納方法をコンピュータに実行させることが可能なプログラム、データ管理システム、及び管理装置を提供することを目的とする。
【課題を解決するための手段】
【００１０】
請求項１に係る発明は、複数の登録者のそれぞれを識別可能にした固有情報を表すテンプレート要素データを記憶領域における所定の格納位置に格納する格納方法であって、演算手段が前記各登録者に対してテンプレート要素データが少なくとも１つ対応しており、前記各登録者に対応するテンプレート要素データを格納すべき格納位置を特定するインデックス情報を演算する第１ステップと、記憶手段が前記第１ステップにより演算されたインデックス情報により特定された格納位置にそれぞれのテンプレート要素データを格納する第２ステップとを含み、前記第１ステップでは、前記演算手段が前記複数の登録者のいずれかに対応するテンプレート要素データが複数の場合において当該複数のテンプレート要素データの格納位置の間に他の登録者に対応するテンプレート要素データを格納すべく前記インデックス情報を演算することを特徴とするものである。
【００１１】
請求項２に係る発明は、請求項１において、前記テンプレート要素データが格納される記憶領域とは異なる他の記憶領域に記憶手段が前記演算されたインデックス情報を格納する第３のステップを含むものである。
【００１２】
請求項３に係る発明は、請求項１又は２記載の格納方法をコンピュータに実行させることが可能なプログラムである。なお、このプログラムに係る発明をコンピュータが実行することが可能にて記録した記録媒体に係る発明として捉えなおしてもよい。
【００１３】
請求項４に係る発明は、複数の登録者のそれぞれを識別可能にした固有情報を表すテンプレート要素データを記憶領域における所定の格納位置に格納してデータを管理するデータ管理システムであって、請求項１記載のインデックス情報により特定された格納位置にそれぞれのテンプレート要素データを格納する第１記憶部と、前記第１記憶部とは分離された記憶部であってインデックス情報を格納する第２記憶部と、前記各登録者に対応する前記第１記憶部に記憶されたテンプレート要素データを前記第２記憶部に記憶されたインデックス情報に基づいて管理する管理装置とを備えるものである。
【００１４】
請求項５に係る発明は、外部情報通信ネットワークに直接に接続又は他の管理装置を介して接続した請求項４記載の管理装置である。
【発明の効果】
【００１５】
本発明によれば、例えばオープン環境用バイオメトリクスにおいても、攻撃者がデータベース等の記憶部へ不正侵入しようとしても、複数の登録者のいずれかに対応するテンプレート要素データが複数の場合において当該複数のテンプレート要素データの格納位置の間に他の登録者に対応するテンプレート要素データを格納すべくインデックス情報が演算されて格納される。そのため、複数の登録者のいずれかに対応する複数のテンプレート要素データは連続して格納されていないことになり、格納されたテンプレート要素データの不正使用を防止できるとともに、テンプレート要素データが登録者のそれぞれを識別可能にした固有情報を表すためその漏洩防止の点からプライバシ保護も可能になる。
【発明を実施するための最良の形態】
【００１６】
図１は本発明の実施の形態にかかる管理システムの一例を示した概略ブロック図である。
【００１７】
図１を参照して、管理システム１は、管理装置３と、記憶部５とを備える。管理装置３は情報通信ネットワークであって外部ネットワークと通信可能な状態であり、オープン環境に適用される。管理装置３は、外部ネットワークに直接接続する関係のＣＢＥＦＦデータ管理サーバ７と、ＣＢＥＦＦデータ管理サーバ７と接続関係にあるＢＳＭＢデータ管理サーバ９とを有する。ＢＳＭＢデータ管理サーバ９は、後述する図４に示すインデックス発生アルゴリズムの実行に寄与する演算を行う演算部１１を有する。記憶部５は、ＳＢＨ・ＳＢストレージ１３と、ＢＳＭＢストレージ１５と、格納位置マップ・ストレージ１７とを有する。ＣＢＥＦＦデータ管理サーバ７はＳＢＨ・ＳＢストレージ１３にアクセス可能であり、ＢＳＭＢデータ管理サーバ９は、ＢＳＭＢストレージ１５及び格納位置マップ・ストレージ１７にアクセス可能である。
【００１８】
管理システム１のポイントの概要を説明する。管理システム１は、テンプレートが複数の要素からなる集合であるケースについて、データベース内部での格納場所のインデックスをスクランブルすることによって、登録者ごとにテンプレートを分散格納する方法を実現するものである。「登録テンプレートの個々の要素（以下，テンプレート要素）のバイナリデータ」と「登録者のID情報等のバイナリデータをシード値とする擬似乱数」との結合値に対するハッシュ値を用いて格納場所のインデックスが決定される。
【００１９】
図２はテンプレート要素と格納位置のインデックスの関係を具体的に示す図である。
【００２０】
図２に示すように、テンプレート要素は、Ａさんについて「１」〜「Ｍ」があるとし、Ｂさんについて「１」〜「Ｍ」があるとする。この場合、上記の方法によるインデックスを生成すると、例えば、「ＢさんのテンプレートＭ」に対応する格納インデックスの値は、［（ＢさんのテンプレートＭ）||（Ｂさんの識別番号から生成した擬似乱数）］のハッシュ値となり、それぞれ、「Ａさんのテンプレート１」の格納位置のインデックスは「１０００」、「Ａさんのテンプレート２」の格納位置のインデックスは「１１」、「Ａさんのテンプレート３」の格納位置のインデックスは「５１６７」、「ＡさんのテンプレートＭ」の格納位置のインデックスは「２１９」、「Ｂさんのテンプレート１」の格納位置のインデックスは「２１８」、「Ｂさんのテンプレート２」の格納位置のインデックスは「１０６９８」、「Ｂさんのテンプレート３」の格納位置のインデックスは「８７１４」、「ＢさんのテンプレートＭ」の格納位置のインデックスは「５１７７」のように、同一人物のテンプレート要素が必ずしも連続せず、他の人物のテンプレートが混じってくる。
【００２１】
このように求められたハッシュ値は別途マップとして保存される。隣接する格納場所に同一人物のテンプレート要素が格納されることがないため、マップを入手されなければ、（たとえ、攻撃者がテンプレート要素を不正入手したとしても）登録者のテンプレート全体を再構成することはできない。それゆえに成りすましを防止する効果もある。
【００２２】
さらに、管理システム１の必要性について説明する。
【００２３】
以下、登録テンプレートを格納するデータベースに要求される安全性の要件について説明し、取り扱う脅威、すなわち破られたデータベースの安全性要件を説明し、解決を図るべき問題点を説明する。
【００２４】
登録テンプレートの真正性と可用性を確保するために、データベースが満たすべき安全性の一般的な要件として、「登録時の本人確認」、「データ漏洩の対策」、「データ改ざんへの対策」が挙げられる。
【００２５】
この管理システム１が想定するデータベースの脅威と対策の方針は、「データ漏洩の対策」及び「データ改ざんへの対策」とする。特にデータベース内部に侵入された後、登録テンプレートを不正にコピー、もしくは改ざんされるケースを想定する。一般に不正アクセスによってデータベースの内容が不正コピーされる場合、登録者全てのテンプレートが漏洩することを想定する必要がある。その際、漏洩したデータから登録者本人とテンプレートの関連付けを行うことを困難にしておくことにより、少なくともプライバシ保護が可能と考えられる。また、改ざんの場合、特定登録者のテンプレートに対する改ざんが想定される。このケースも上と同様の措置をとることによって、防止することが可能になると考えられる。
【００２６】
図３はＣＢＥＦＦ（Common  Biometric  Exchange  File  Format）を説明するための図である。
【００２７】
ＣＢＥＦＦは、米国ＮＩＳＴ提案の形式に基づき、ＩＳＯ／ＩＥＣ  ＪＴＣ１  ＳＣ３７にて国際標準化が進められているものである。その目的はバイオメトリック・ロウデータやテンプレートなどのデータの相互運用性を確保することにある．ＣＢＥＦＦでは利用するバイオメトリクスのモーダルに応じて、そのデータ形式をパトロンフォーマットとして登録しておく必要がある。図３に示すように、ＣＢＥＦＦ１９全体の構成は、データ要素として、ＳＢＨ（Standard  Biometric  Header）２１と、ＢＳＭＢ（Biometric  Specific  Memory  Block）２３と、ＳＢ（Signature  Block）とを有する。ＳＢＨ２１は、バイオメトリクスのフォーマット識別情報、フォーマット提供ベンダの識別情報、セキュリティオプション等からなるヘッダ情報である。ＢＳＭＢ２３は、格納するバイオメトリックデータの本体となる。ＳＢ２５は、署名かＭＡＣ値を用いて完全性を保証するものであり、オプションのブロックである。
【００２８】
次に、テンプレートのデータ形式について説明する。ＢＳＭＢの格納データについてはバイオメトリック認証のモーダルに応じて国際標準化が進められている。
【００２９】
指紋マニューシャについては、下記表にも示されているデータ形式であり、指紋マニューシャのデータは指紋の核、三角州などの特徴点の座標と谷の方向から構成される。表のデータを1要素として、一人当たり最大60個（登録：16個以上，認証：12個以上）の要素を登録可能とすることが求められている。
【００３０】
【表１】
2008102876.tif 000003
【００３１】
指紋画像データ、顔画像データ、虹彩画像データというこれらの画像データとしては、例えばＪＰＥＧ方式にて圧縮された情報を用いればよい。画像データが８画素×８ラインの重なりのないブロックに分割され、それぞれのブロックについて２次元ＤＣＴ（離散コサイン変換）係数の系列がランレングスハフマン符号化される。
【００３２】
以下、上記に記載した内容を踏まえて、図１の管理システム１の動作を説明する。
【００３３】
図１に示すように、ここでの管理システム１は、以下のように登録テンプレートの中で個々の要素に分割可能なものを対象としている。
【００３４】
ＣＢＥＦＦデータ管理サーバ７は、一般的なアクセス制御の機能と、認証要求があったときにＢＳＭＢデータ管理サーバ９にテンプレートの再構成および送信の要求を行う。また、ＳＢＨ・ＳＢストレージ１３の格納データとＢＳＭＢデータ管理サーバ９から受信したテンプレートからＣＢＥＦＦ形式のデータを再生する。
【００３５】
ＢＳＭＢデータ管理サーバ９は、ＣＢＥＦＦデータ管理サーバ７からの要求にしたがって、テンプレートの格納、出力を行う。ＢＳＭＢデータ管理サーバ９はＣＢＥＦＦデータ管理サーバ７よりも厳格なアクセスポリシによりアクセス制御される。
【００３６】
ＳＢＨ・ＳＢストレージ１３は、全登録者のＣＢＥＦＦデータのうちＳＢＨとＳＢの部分のデータを格納する。
【００３７】
ＢＳＭＢストレージ１５は、テンプレートの本体を格納する。テンプレート要素は以下に示す手法によって格納位置をスクランブルされており、ＢＳＭＢストレージ１５の格納データから各登録者のテンプレートを再構成することはできない。
【００３８】
上記格納位置をスクランブルするための定義と計算方法を示す。
【００３９】
登録者αの登録テンプレート（ＢＳＭＢ）を第（１）式に示すＴαとし、ＳＢＨのバイナリデータをＢＳＢＨα、データベースが持つ秘密値をｓＤＢとする。データベースが持つアルゴリズムＡのハッシュ関数をＨＡ、擬似乱数生成器をＧＰＲＮとする。擬似乱数生成のシード値をｓｅｅｄとし、ｉ番目の系列値をＧＰＲＮ（ｓｅｅｄ，ｉ）とする。また、ｉ番目のテンプレート要素Ｔα，ｉの格納位置インデックスをｉｄｘα，ｉとする。
【００４０】
【数１】
2008102876.tif 000004
【００４１】
テンプレート要素の格納位置インデックスの計算法については以下のとおりである。各Ｔα，ｉの格納位置インデックスｉｄｘα，ｉはＢＳＢＨα，ｓＤＢをｓｅｅｄとする擬似乱数とＴα，ｉを入力とするハッシュ関数ＨＡの出力値とする。この計算により、テンプレート要素の格納位置はＴα，ｉ自身とそれを格納するＣＢＥＦＦデータのヘッダによって撹乱される。ＢＳＢＨαは登録者によって異なるため、ＧＰＲＮにより生成される擬似乱数系列も登録者によって大きく異なる。
【００４２】
なお、第（２）式の計算集合である第（３）式に表されるＩＤＸαが、登録者αの格納位置マップとされ、データベースの秘密情報として格納される。
【数２】
2008102876.tif 000005
【００４３】
格納位置マップ・ストレージ１７は、全登録者のテンプレート要素の格納位置に関するマップ情報ＩＤＸαを格納している。
【００４４】
このような概念に基づき、図１に示すように、ＣＢＥＦＦデータ管理サーバ７、ＢＳＭＢデータ管理サーバ９を介して、3箇所にストレージが分散され、各登録者のＣＢＥＦＦデータが格納されている。
【００４５】
図４は図１の管理システム１の主要動作の一つであるインデックス発生とデータ格納処理のアルゴリズムの一例を示した図である。以下、図４に従って、図１のＢＳＭＢデータ管理サーバ９（特に演算部１１）が行う格納位置インデックスｉｄｘα，ｉの演算による生成とＩＤＸαの格納処理をさらに説明する。
【００４６】
ステップＳ１を開始するために、ＳＴ［ｉ］がストレージのｉ番目のポインタとして、ＩＤＸα［ｉ］がユーザαのｉ番目のテンプレートの格納インデックスとして準備される。
【００４７】
ステップＳ１では、テンプレートのヘッダ情報ＢＳＢＨα、ストレージの秘密値ｓＤＢの入力が行われる。ステップＳ２では、初期値設定が行われ、具体的には、カウンタｉ←０、擬似乱数のｓｅｅｄ値がｓｅｅｄ←ＢＳＢＨα||ｓＤＢとされる。
【００４８】
ステップＳ３では（ｉ＜Ｎ）、登録者αのテンプレート格納のため、登録者αのテンプレート格納位置のシャッフル計算及び格納処理についてのループが開始される。
【００４９】
ステップＳ４では擬似乱数計算ＰＲＮ←ＧＰＲＮ（ｓｅｅｄ，ｉ）が行われ、ステップＳ５ではハッシュ関数計算ｉｄｘα，ｉ←ＨＡ（Ｔα，ｉ||ＰＲＮ）が行われる。
【００５０】
ステップＳ６では格納インデックスの登録ＩＤＸα［ｉ］←ｉｄｘα，ｉが行われ、ステップＳ７ではストレージへのテンプレート格納ＳＴ［ＩＤＸα［ｉ］］←Ｔα，ｉが行われる。
【００５１】
そして、ステップＳ８ではカウンタのインクリメントｉ←ｉ＋１が行われ、ステップＳ９では登録者αのテンプレート登録に関するループ処理が終了する。
【００５２】
次に、上記管理システムの安全性について、格納位置インデックスの計算法、データベースへの不正アクセスへの耐性の観点から説明する。
【００５３】
格納位置インデックスのスクランブルによる安全性については、テンプレート要素の格納位置インデックスの計算に用いるハッシュアルゴリズム、擬似乱数生成アルゴリズムを非公開にすることにより、擬似乱数のシード値が知られても、格納位置を推測することは困難である。したがって、ＢＳＭＢストレージ全体のデータを取得しても、各登録者のテンプレートの再構成は困難であり、成りすましに利用される可能性を低減することができる。
【００５４】
データベースへの侵入に対する安全性については、図１において外部ネットワークと直接接続されているのはＣＢＥＦＦデータ管理サーバ７であり、ＣＢＥＦＦデータ管理サーバ７に侵入されても、ＢＳＭＢデータ管理サーバ９へのアクセスに認証サーバからの情報を含めることにより、テンプレートデータへのアクセスを防止できる。また、ＢＳＭＢデータ管理サーバ９への侵入が行われた場合でも、格納位置マップ・ストレージ１７への不正アクセスを防止できれば、各登録者のテンプレートデータを保護できる。
【００５５】
なお、上記実施の形態では、ＢＳＭＢデータ管理サーバ９が演算部１１を有する形態としたが、ＢＳＭＢデータ管理サーバ９とは分離されたものであってもよく、ＢＳＭＢストレージ１５或いは格納位置マップ・ストレージ１７、その他の新たなシステム構成部分に有するようにしてもよい。
【００５６】
また、上記実施の形態では、オープン環境用のバイオメトリクスを前提にしたものを具体的には示したが、複数の登録者のそれぞれを識別可能にした他の固有情報に関するものでもよい。
【００５７】
なお、上記実施の形態ではＣＢＥＦＦデータ管理サーバ７とＢＳＭＢデータ管理サーバ９とを分離させたが、必ずしも分離させる必要はない。
【図面の簡単な説明】
【００５８】
【図１】本発明の実施の形態にかかる管理システムの一例を示した概略ブロック図である。
【図２】テンプレート要素と格納位置のインデックスの関係を具体的に示す図である。
【図３】ＣＢＥＦＦ（Common  Biometric  Exchange  File  Format）を説明するための図である。
【図４】図１の管理システム１の主要動作の一つであるインデックス発生とデータ格納処理のアルゴリズムの一例を示した図である。
【符号の説明】
【００５９】
１  管理システム
３  管理装置
５  記憶部
９  ＢＳＭＢデータ管理サーバ
１１  演算部
１５  ＢＳＭＢストレージ
１７  格納位置マップ・ストレージ
【図１】
2008102876.tif 000006
【図２】
2008102876.tif 000007
【図３】
2008102876.tif 000008
【図４】
2008102876.tif 000009