(57)【特許請求の範囲】
【請求項１】
ユーザ認証を行う認証システムであって、
記憶媒体と、前記記憶媒体に認証情報を登録する登録装置と、前記記憶媒体に登録されている認証情報を使ってユーザを認証する認証装置と、を有し、
前記記憶媒体には、
生体情報種別毎に、生体情報と、当該生体情報を登録する際の本人確認に採用したポリシとが登録されており、
前記登録装置は、
生体情報、生体情報種別および本人確認のポリシを含むユーザ情報を受付ける受付手段と、
前記ユーザ情報に含まれている生体情報種別が前記記憶媒体に登録されていない場合は、当該生体情報種別に対応付けて前記ユーザ情報に含まれている生体情報およびポリシを前記記憶媒体に登録し、前記ユーザ情報に含まれている生体情報種別が前記記憶媒体に登録されている場合は、当該生体情報種別に対応付けられて前記記憶媒体に登録されているポリシが示すセキュリティレベルが前記ユーザ情報に含まれているポリシが示すセキュリティレベルよりも低い場合に、当該生体情報種別に対応付けられて前記記憶媒体に登録されている生体情報およびポリシを、前記ユーザ情報に含まれている生体情報およびポリシに更新する登録更新手段と、を有し、
前記認証装置は、
ユーザ認証に用いる生体情報種別に対応付けられて前記記憶媒体に登録されているポリシが示すセキュリティレベルが所定の条件を満足しているか否かを検証する本人確認レベル検証手段と、
前記本人確認レベル検証手段による検証が成立した場合に、ユーザ認証に用いる生体情報種別の生体情報をユーザから採取する生体情報採取手段と、
前記生体情報採取手段によってユーザから採取した生体情報と、ユーザ認証に用いる生体情報種別に対応付けられて前記記憶媒体に登録されている生体情報とを用いて、生体認証を行う生体認証手段と、を有すること
を特徴とする認証システム。
【請求項２】
ユーザ認証に用いる情報を記憶媒体に登録する登録装置であって、
生体情報、生体情報種別および当該生体情報を登録する際の本人確認に採用したポリシを含むユーザ情報を受付ける受付手段と、
前記ユーザ情報に含まれている生体情報種別が前記記憶媒体に登録されていない場合は、当該生体情報種別に対応付けて前記ユーザ情報に含まれている生体情報およびポリシを前記記憶媒体に登録し、前記ユーザ情報に含まれている生体情報種別が前記記憶媒体に登録されている場合は、当該生体情報種別に対応付けられて前記記憶媒体に登録されているポリシが示すセキュリティレベルが前記ユーザ情報に含まれているポリシが示すセキュリティレベルより低い場合に、当該生体情報種別に対応付けられて前記記憶媒体に登録されている生体情報およびポリシを、前記ユーザ情報に含まれている生体情報およびポリシに更新する登録更新手段と、を有すること
を特徴とする登録装置。
【請求項３】
請求項２に記載の登録装置であって、
本人確認のポリシ各々のセキュリティレベルを記憶するポリシ記憶手段をさらに有し、
前記登録更新手段は、
前記ポリシ記憶手段を用いて、前記記憶媒体に登録されているポリシが示すセキュリティレベルが前記ユーザ情報に含まれているポリシが示すセキュリティレベルより低いか否かを判断すること
を特徴とする登録装置。
【請求項４】
請求項２又は３に記載の登録装置であって、
ネットワークを介して他の装置と通信を行なう通信手段と、
前記通信手段を介して前記他の装置から受信した要求に付されているデジタル署名を検証することで前記要求の可否を判断し、その判断結果を前記他の装置に送信する要求可否判断手段と、をさらに有すること
を特徴とする登録装置。
【請求項５】
生体情報種別毎に、生体情報と、当該生体情報を登録する際の本人確認に採用したポリシとが登録されている記憶媒体を用いて、ユーザ認証を行う認証装置であって、
ユーザ認証に用いる生体情報種別に対応付けられて前記記憶媒体に登録されているポリシが示すセキュリティレベルが所定の条件を満足しているか否かを検証する本人確認レベル検証手段と、
前記本人確認レベル検証手段による検証が成立した場合に、ユーザ認証に用いる生体情報種別の生体情報をユーザから採取する生体情報採取手段と、
前記生体情報採取手段によってユーザから採取した生体情報と、ユーザ認証に用いる生体情報種別に対応付けられて前記記憶媒体に登録されている生体情報とを用いて、生体認証を行う生体認証手段と、を有すること
を特徴とする認証装置。
【請求項６】
請求項５に記載の認証装置であって、
ユーザ認証を利用する生体情報種別と、当該生体情報種別の生体情報を登録する際の本人確認に要求するポリシとを記憶する認証条件記憶手段をさらに有し、
前記本人確認レベル検証手段は、
前記認証条件記憶手段に記憶されている生体情報種別に対応付けられて前記記憶媒体に登録されているポリシが示すセキュリティレベルが、前記認証条件記憶手段に記憶されているポリシが示すセキュリティレベル以上である場合に、前記所定の条件を満足していると判断すること
を特徴とする認証装置。
【請求項７】
請求項５又は６に記載の認証装置であって、
前記記憶媒体からデジタル署名付きの要求を受信した場合に、ネットワークを介して他の装置に当該要求を転送する通信手段をさらに有すること
を特徴とする認証装置。
【請求項８】
請求項５乃至７のいずれか一項に記載の認証装置であって、
前記本人確認レベル検証手段を有する第１の装置と、
前記第１の装置とネットワークで接続された、前記生体情報採取手段および前記生体認証手段を有する第２の装置と、を有すること
を特徴とする認証装置。
【請求項９】
ユーザ認証に用いる記憶媒体であって、
外部装置と通信を行う通信手段と、
生体情報種別毎に、生体情報と、当該生体情報を登録する際の本人確認に採用したポリシとを記憶する認証情報記憶手段と、
前記認証情報記憶手段の記憶制御を行う記憶制御手段と、を有し、
前記記憶制御手段は、
前記通信手段を介して第１の外部装置より生体情報種別、生体情報、およびポリシを含む認証レコード受信した場合に、当該認証レコードが新規の情報ならば、当該認証情報を前記認証情報記憶手段に記憶し、当該認証レコードが既存の情報ならば、当該認証レコードに含まれる生体情報種別に対応付けられて前記認証情報記憶手段に記憶されている生体情報およびポリシを、当該受信した生体情報およびポリシに変更し、
前記通信手段を介して第２の外部装置より生体情報種別を受信した場合に、当該生体情報種別に対応付けられて前記認証情報記憶手段に記憶されているポリシを前記第２の外部装置に送信し、当該送信に対する応答として前記第２の装置より本人確認レベルの検証成立を受信した場合に、当該生体情報種別に対応付けられて前記認証情報記憶手段に記憶されている生体情報を前記第２の外部装置に送信すること
を特徴とする記憶媒体。
【請求項１０】
請求項９に記載の記憶媒体であって、
ユーザ認証を利用するサービスプロバイダ毎にユーザ認証利用回数を記憶する利用回数記憶手段をさらに有し、
前記記憶制御手段は、
前記通信手段を介して前記第２の外部装置より生体情報種別を受信した場合、当該生体情報種別に付されている識別情報により特定されるサービスプロバイダに対応付けられて前記利用回数記憶手段に記憶されている利用回数が所定値未満の場合に、当該生体情報種別に対応付けられて前記認証情報記憶手段に記憶されているポリシを前記第２の外部装置に送信し、該所定値未満でない場合は、当該サービスプロバイダの利用回数リセット要求を前記第２の外部装置に送信し、
前記サービスプロバイダの利用回数リセット要求に対する応答として、前記通信手段を介して前記第２の外部装置よりリセット許可を受信した場合に、前記利用回数記憶手段に記憶されている当該サービスプロバイダの利用回数をリセットすること
を特徴とする記憶媒体。
【請求項１１】
生体情報種別毎に、生体情報と、当該生体情報を登録する際の本人確認に採用したポリシとが登録された記憶媒体と、前記記憶媒体に認証情報を登録する登録装置と、前記記憶媒体に登録されている認証情報を使ってユーザを認証する認証装置と、を有する認証システムによるユーザ認証方法であって、
前記登録装置が、
生体情報、生体情報種別および本人確認のポリシを含むユーザ情報を受付けと、
前記ユーザ情報に含まれている生体情報種別が前記記憶媒体に登録されていない場合は、当該生体情報種別に対応付けて前記ユーザ情報に含まれている生体情報およびポリシを前記記憶媒体に登録し、
前記ユーザ情報に含まれている生体情報種別が前記記憶媒体に登録されている場合は、当該生体情報種別に対応付けられて前記記憶媒体に登録されているポリシが示すセキュリティレベルが前記ユーザ情報に含まれているポリシが示すセキュリティレベルよりも低い場合に、当該生体情報種別に対応付けられて前記記憶媒体に登録されている生体情報およびポリシを、前記ユーザ情報に含まれている生体情報およびポリシに更新し、
前記認証装置が、
ユーザ認証に用いる生体情報種別に対応付けられて前記記憶媒体に登録されているポリシが示すセキュリティレベルが所定の条件を満足しているか否かを検証し、
検証が成立した場合に、ユーザ認証に用いる生体情報種別の生体情報をユーザから採取し、
ユーザから採取した生体情報と、ユーザ認証に用いる生体情報種別に対応付けられて前記記憶媒体に登録されている生体情報とを用いて、生体認証を行うこと
を特徴とする認証方法。
【請求項１２】
請求項２乃至４の何れか一項に記載の登録装置であって、
前記受付手段で受付けたユーザ情報に含まれている生体情報種別および本人確認のポリシを記憶するユーザ情報記憶手段をさらに有すること
を特徴とする登録装置。
【請求項１３】
請求項１２に記載の登録装置であって、
前記ユーザ情報記憶手段は、
前記受付手段で受付けたユーザ情報に含まれている生体情報も、当該ユーザ情報に含まれている生体情報種別および本人確認のポリシと共に記憶すること
を特徴とする登録装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、生体情報を用いた認証技術に関する。
【背景技術】
【０００２】
特許文献１には、生体認証の信頼性を保証しつつ、ネットワークを介して本人確認を実行する技術が開示されている。特許文献１に記載の技術では、登録局が生体テンプレートを作成し、ＩＣカードを発行する。認証デバイスがＩＣカードを用いてクライアントの生体認証を実施し、その認証結果をネットワーク経由でサービス提供者の装置へ送信する。この際、認証デバイス、ＩＣカードのそれぞれが認証結果に署名して、認証結果の正当性を保証する。
【０００３】
特許文献２には、電子証取引における安全性および確実性の向上を図るとともに、認証情報の登録手続の簡略化および管理の効率化を図る技術が開示されている。特許文献２に記載の技術では、認証サーバが生体情報の登録、認証を代行する。登録はネットワーク経由で実施できるようにすることで手続きを簡略化する。生体情報は認証サーバで保管する。サービス提供者の装置は生体認証のために取得した生体情報を認証サーバに転送する。認証サーバは転送された生体情報を保管している生体情報と比較して認証する。
【０００４】
特許文献３には、端末での生体認証を可能にする技術が開示されている。特許文献３に記載の技術では、認証証明書を使用する。この認証証明書には、生体認証の照合用データ、ユーザの属性情報、および認証局の署名が含まれている。端末は、指紋から認証データを生成し、認証証明書から抽出した照合用データと照合して生体認証を行う。
【０００５】
【特許文献１】特開２００３-１４３１３６号公報
【特許文献２】特開２００１-２７３４２１号公報
【特許文献３】特開２００４-２７２５５１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、上記の特許文献１-３に記載の技術には、次の問題がある。
【０００７】
（１）特許文献１
サービス提供者は、登録局がユーザの生体情報を登録する際に採用した本人確認プロセスの正当性を検証することができない。つまり、サービス提供者は、登録局に登録されているユーザの生体情報が当該ユーザになりすました他人が登録局に登録した可能性を検証することができない。
【０００８】
（２）特許文献２
ユーザの生体情報を認証サーバに登録する際に採用する本人確認が、ネットワークを介した氏名の確認のみで行っている。このため、ユーザの生体情報を登録する際の本人確認に高いセキュリティレベルが求められるサービスには対応できない。
【０００９】
（３）特許文献３
ユーザの生体情報を登録する際にユーザの属性情報を用いて本人確認を行っている。しかし、ユーザの生体情報を登録する際に採用した本人確認方法をサービス提供者に開示する仕組みがない。
【００１０】
また、上記の特許文献１-３に記載の技術は、本人確認方法に要求されるセキュリティレベルがサービス提供者毎に異なる場合があることを想定していない。
【００１１】
本発明は上記事情に鑑みてなされたものであり、本発明の目的は、本人確認方法がサービス提供者間で異なる場合において、生体情報を登録するユーザの作業負担を軽減しつつ、各サービス提供者が望むユーザ認証を実現する技術を提供することにある。
【課題を解決するための手段】
【００１２】
上記課題を解決するために、本発明では、本人確認に関するポリシを複数用意しておく。登録局の装置は、ユーザの生体情報を登録するに際して、本人確認に利用したポリシを、生体情報と共にユーザの記憶媒体（例えば耐タンパデバイス）に登録する。サービス提供者の装置は、ユーザ認証に際して、サービス提供を要求するユーザの記憶媒体から本人確認のポリシを取得し、該ポリシがサービス提供者が要求する本人確認のセキュリティレベルを満足しているか否かチェックする。満足している場合は、生体情報採取手段（例えば指紋センサ）を用いてユーザから生体情報を採取し、取得した生体情報を、当該ポリシと共に記憶媒体に登録されている生体情報と比較することで、ユーザ認証を行う。
【００１３】
例えば、本発明は、ユーザ認証を行う認証システムであって、
記憶媒体と、前記記憶媒体に認証情報を登録する登録装置と、前記記憶媒体に登録されている認証情報を使ってユーザを認証する認証装置と、を有し、
前記記憶媒体には、
生体情報種別毎に、生体情報と、当該生体情報を登録する際の本人確認に採用したポリシとが登録されており、
前記登録装置は、
生体情報、生体情報種別および本人確認のポリシを含むユーザ情報を受付ける受付手段と、
前記ユーザ情報に含まれている生体情報種別が前記記憶媒体に登録されていない場合は、当該生体情報種別に対応付けて前記ユーザ情報に含まれている生体情報およびポリシを前記記憶媒体に登録し、前記ユーザ情報に含まれている生体情報種別が前記記憶媒体に登録されている場合は、当該生体情報種別に対応付けられて前記記憶媒体に登録されているポリシが示すセキュリティレベルが前記ユーザ情報に含まれているポリシが示すセキュリティレベルよりも低い場合に、当該生体情報種別に対応付けられて前記記憶媒体に登録されている生体情報およびポリシを、前記ユーザ情報に含まれている生体情報およびポリシに更新する登録更新手段と、を有し、
前記認証装置は、
ユーザ認証に用いる生体情報種別に対応付けられて前記記憶媒体に登録されているポリシが示すセキュリティレベルが所定の条件を満足しているか否かを検証する本人確認レベル検証手段と、
前記本人確認レベル検証手段による検証が成立した場合に、ユーザ認証に用いる生体情報種別の生体情報をユーザから採取する生体情報採取手段と、
前記生体情報採取手段によってユーザから採取した生体情報と、ユーザ認証に用いる生体情報種別に対応付けられて前記記憶媒体に登録されている生体情報とを用いて、生体認証を行う生体認証手段と、を有する。
【発明の効果】
【００１４】
本発明によれば、ユーザは、自身の耐タンパデバイスを用いて、当該耐タンパデバイスに登録されているポリシよりも低いセキュリティレベルの本人確認を要求するサービスに対して、生体情報を用いたユーザ認証を受けることができる。したがって、ユーザは、サービス毎に、生体情報の登録を登録局に依頼する必要がなくなり、作業負担を軽減できる。また、各サービス提供者は、所望のセキュリティレベル以上の本人確認により登録された生体情報を使ってユーザ認証を行うことができる。
【発明を実施するための最良の形態】
【００１５】
以下、本発明の一実施形態を説明する。
【００１６】
図１は本発明の一実施形態が適用された認証システムの概略図である。
【００１７】
図示するように、本実施形態の認証システムは、登録サーバ１と、少なくとも１台の認証サーバ２と、少なくとも１台のサービス提供端末３と、少なくとも１台の耐タンパデバイス４と、を有する。登録サーバ１は、ユーザが所望のサービスプロバイダからサービスを受けるために必要な情報を耐タンパデバイス４に登録する装置である。認証サーバ２は、所定のサービスプロバイダのサービスをユーザに提供するためのユーザ認証を行う装置である。サービス提供端末３は、所定のサービスプロバイダのサービスをユーザに提供する装置である。耐タンパデバイス４と連携して、認証サーバ２に、ユーザ認証に必要な情報を提供する。登録サーバ１、認証サーバ２、およびサービス提供端末３は、インターネットなどのネットワーク５を介して相互接続されている。また、耐タンパデバイス４は、ユーザが所望のサービスプロバイダのサービスを享受するために利用する装置（例えばＩＣカード）である。
【００１８】
先ず、登録サーバ１について説明する。図２は登録サーバ１の概略図である。
【００１９】
図示するように、登録サーバ１は、耐タンパデバイスＩＦ部１１と、ネットワークＩＦ部１２と、入出力部１３と、署名生成・検証部１４と、ポリシ記憶部１５と、プロバイダ情報記憶部１６と、ユーザ情報記憶部１７と、登録処理部１８と、を有する。
【００２０】
耐タンパデバイスＩＦ部１１は、接触あるいは非接触で耐タンパデバイス４と通信を行なう。ネットワークＩＦ部１２は、ネットワーク５を介して認証サーバ２およびサービス提供端末３と通信を行う。入出力部１３は、情報の入出力を行う。署名生成・検証部１４は、登録処理部１１の指示に従い、予め登録された登録局（登録サーバ１の運営者）の秘密鍵を用いて情報にデジタル署名を施す。また、公開鍵証明書を使ってデジタル署名を検証する。
【００２１】
ポリシ記憶部１５には、生体情報を登録する際に適用される本人確認のポリシ（本人確認のための個人情報の受付け条件）が記憶されている。図３はポリシ記憶部１５を模式的に表した図である。図示するように、ポリシ記憶部１５には、ポリシ毎にレコード１５０が登録されている。レコード１５０は、ポリシを一意に特定するためのポリシＩＤを登録するフィールド１５１と、ポリシの内容を登録するためのフィールド１５２と、ポリシのセキュリティレベルを登録するフィールド１５３と、を有する。ポリシの内容としては、例えば「電子データによる個人情報の受付け」、「署名入り文書による個人情報の受付け」、「公的身分証明書添付の書類による個人情報の受付け」、「対面での公的身分証明書添付の書類受渡しによる個人情報の受付け」などがある。
【００２２】
プロバイダ情報記憶部１６には、ユーザにサービスを提供するサービスプロバイダの情報が記憶されている。図４はプロバイダ情報記憶部１６を模式的に表した図である。図示するように、プロバイダ情報記憶部１６には、サービスプロバイダおよびサービス種別の組合せ毎にレコード１６０が登録されている。レコード１６０は、サービスプロバイダを一意に特定するためのプロバイダＩＤを登録するフィールド１６１と、サービスプロバイダの名称を登録するフィールド１６２と、サービスプロバイダが提供するサービスのサービス種別を登録するフィールド１６３と、ユーザ認証に用いる生体情報を登録する際の本人確認に適用するポリシのポリシＩＤを登録するフィールド１６４と、ユーザ認証に用いる生体情報の種別を登録するフィールド１６５と、を有する。生体情報の種別としては、例えば「指紋」、「虹彩」などがある。
【００２３】
ユーザ情報記憶部１７には、サービスプロバイダのサービスを享受するユーザの情報が記憶されている。図５はユーザ情報記憶部１７を模式的に表した図である。図示するように、ユーザ情報記憶部１７には、ユーザ、生体情報の種別、および当該種別の生体情報を登録する際に適用された本人確認のポリシの組合せ毎にレコード１７０が登録されている。レコード１７０は、ユーザを一意に特定するためのユーザＩＤを登録するフィールド１７１と、ユーザ名を登録するフィールド１７２と、ユーザが加入しているサービスプロバイダ（加入サービスプロバイダと呼ぶ）のプロバイダＩＤを登録するフィールド１７３と、加入サービスプロバイダがユーザ認証に用いる生体情報を登録する際に採用した本人確認のポリシのポリシＩＤを登録するフィールド１７４と、加入サービスプロバイダがユーザ認証に用いる生体情報の種別を登録するフィールド１７５と、ユーザから採取した該種別の生体情報を登録するためのフィールド１７６と、を有する。フィールド１７４には、フィールド１７３にプロバイダＩＤが登録されているサービスプロバイダが採用する本人確認のポリシのうち、セキュリティレベルが最も高いポリシのポリシＩＤが登録される。また、フィールド１７６には、フィールド１７４に登録されているポリシＩＤを持つポリシによって本人確認が実施された生体情報が登録される。
【００２４】
なお、ユーザが登録する生体情報種別は複数あっても良い。この場合、生体情報種別それぞれについて、本人確認ポリシが割当てられる。つまり、一人のユーザに対して、レコード１７０が複数登録されることになる。
【００２５】
また、図５に示す例では、フィールド１７６に生体情報を登録しているが、これは必須ではない。原則、生体情報をフィールド１７６に登録しないようにしてもよい。そして、ユーザからの希望があった場合にのみ、生体情報をフィールド１７６に登録してもよい。
【００２６】
登録処理部１８は、プロバイダ情報の登録処理、ユーザ情報の登録処理、およびサービス利用回数のリセット適否判断処理を行う。
【００２７】
上記構成の登録サーバ１は、例えば図６に示すような、ＣＰＵ９０１と、メモリ９０２と、ＨＤＤ等の外部記憶装置９０３と、ＣＤ-ＲＯＭやＤＶＤ-ＲＯＭなどの記憶媒体９０４からデータを読み取る読取装置９０５と、キーボードやマウスなどの入力装置９０６と、モニタやプリンタなどの出力装置９０７と、ネットワーク５に接続するためのＮＩＣ９０８と、耐タンパデバイス４に接続するための通信装置９０９と、これらの各装置を接続するバス９１０と、を備えた一般的なコンピュータシステムにおいて、ＣＰＵ９０１がメモリ９０２上にロードされたプログラムを実行することで実現できる。このプログラムは、読取装置９０５を介して記憶媒体９０４から、あるいは、ＮＩＣ９０８を介してネットワーク５から、外部記憶装置９０３にダウンロードされ、それから、メモリ９０２上にロードされてＣＰＵ９０１により実行されるようにしてもよい。あるいは、外部記憶装置９０３を経由せずに、メモリ９０２上に直接ロードされ、ＣＰＵ９０１により実行されるようにしてもよい。
【００２８】
次に、登録サーバ１の動作について説明する。
【００２９】
図７は登録サーバ１のプロバイダ情報登録処理を説明するためのフロー図である。このフローは、登録処理部１８が、ネットワークＩＦ部１２を介して認証サーバ２からプロバイダ情報の登録要求を受付けることで開始される。
【００３０】
まず、登録処理部１８は、ネットワークＩＦ部１２を介して認証サーバ２に、プロバイダ情報を受付けるための入力フォームデータを送信し、認証サーバ２の表示画面に入力フォームを表示させる（Ｓ１０１）。入力フォームは、サービスプロバイダのプロバイダＩＤ、サービスプロバイダの名称、サービスプロバイダが提供するサービスの種別、ユーザ認証に用いる生体情報を登録する際の本人確認に適用するポリシのポリシＩＤ、およびユーザ認証に用いる生体情報の種別を入力するためのエントリを含むものとする。
【００３１】
さて、登録処理部１８は、ネットワークＩＦ部１２を介して認証サーバ２からデジタル署名付きのプロバイダ情報を、サービスプロバイダの公開鍵証明書とともに受信すると（Ｓ１０２でＹＥＳ）、署名生成・検証部１４に署名検証を依頼する。これを受けて、署名生成・検証部１４は、この公開鍵証明書を用いてデジタル署名を検証する。署名検証が成立しなかった場合、登録処理部１８は、ネットワークＩＦ部１２を介して認証サーバ２にエラーメッセージを送信するなどの所定のエラー処理を行い、その後、このフローを終了する。一方、署名検証が成立した場合、登録処理部１８は、プロバイダ情報記憶部１６に新たなレコード１６０を生成し、該レコード１６０のフィールド１６１〜１６５に、Ｓ１０２で受け取ったプロバイダ情報に含まれているプロバイダＩＤ、サービスプロバイダの名称、サービスプロバイダが提供するサービスの種別、ユーザ認証に用いる生体情報を登録する際の本人確認に適用するポリシのポリシＩＤ、およびユーザ認証に用いる生体情報の種別を登録する（Ｓ１０３）。それから、登録処理部１８は、プロバイダ情報を登録した旨のメッセージを、ネットワークＩＦ部１２を介して認証サーバ２に送信して、このフローを終了する。
【００３２】
なお、図７に示すフローでは、ネットワークＩＦ部１２を介して認証サーバ２からプロバイダ情報を取得する場合を例にとり説明したが、プロバイダ情報は入出力部１３から取得するようにしてもよい。この場合、登録処理部１８が入出力部１３を介してオペレータ（登録局のオペレータ）からプロバイダ情報の登録要求を受付けることでこのフローを開始し、Ｓ１０１は省略する。
【００３３】
図８は登録サーバ１のユーザ情報登録処理を説明するためのフロー図である。このフローは、登録処理部１８が、耐タンパデバイスＩＦ部１１を介して耐タンパデバイス４と通信可能な状態において、入出力部１３を介してオペレータ（登録局のオペレータ）からユーザ情報の登録要求を受付けることで開始される。
【００３４】
まず、登録処理部１８は、デジタル署名付きのユーザ情報がユーザの公開鍵証明書とともに入出力部１３に入力されるのを待つ（Ｓ１１１）。ここで、ユーザ情報は、ユーザのユーザＩＤ、ユーザ名、加入サービスプロバイダのプロバイダＩＤ、加入サービスプロバイダがユーザ認証に用いる生体情報を登録するために採用した本人確認のポリシのポリシＩＤ、加入サービスプロバイダがユーザ認証に用いる生体情報の種別、およびユーザから採取した該種別の生体情報を含んでいる。
【００３５】
さて、登録処理部１８は、デジタル署名付きのユーザ情報がユーザの公開鍵証明書とともに入出力部１３に入力されると（Ｓ１１１でＹＥＳ）、署名生成・検証部１４に署名検証を指示する。これを受けて、署名生成・検証部１４は、この公開鍵証明書を用いてデジタル署名を検証する。署名検証が成立しなかった場合、登録処理部１８は、入出力部１３からエラーメッセージを出力するなどの所定のエラー処理を行い、その後、このフローを終了する。一方、署名検証が成立した場合、登録処理部１８は、ユーザ情報に含まれているユーザＩＤ、ユーザ名、および生体情報の種別が、フィールド１７１、１７２、および１７５に登録されているレコード１７０（対象レコードと呼ぶ）を、ユーザ情報記憶部１７から検索する（Ｓ１１２）。
【００３６】
Ｓ１１２において、対象レコード１７０がユーザ情報記憶部１７に登録されていない場合（Ｓ１１２でＮＯ）、登録処理部１８は、ユーザ情報記憶部１７に新たなレコード１７０を追加する。そして、追加したレコード１７０のフィールド１７１〜１７６に、ユーザ情報に含まれているユーザＩＤ、ユーザ名、プロバイダＩＤ、ポリシＩＤ、生体情報の種別、および生体情報を登録する（Ｓ１１３）。それから、登録処理部１８は、新規追加したレコード１７０のフィールド１７４、１７５、１７６に登録されているポリシＩＤ、生体情報種別、および生体情報を含む新規認証レコード（後述する図２１を参照）の情報を生成する。そして、署名生成・検証部１４に、この新規認証レコードの情報に対するデジタル署名を依頼する。これを受けて、署名生成・検証部１４は、予め登録されている登録局の秘密鍵を用いてこの新規認証レコードの情報に対するデジタル署名を生成する。登録処理部１８は、このデジタル署名を新規認証レコードの情報に付加し、予め登録されている登録局の公開鍵証明書と共に、耐タンパデバイス４に送信する（Ｓ１１４）。
【００３７】
Ｓ１１２において、対象レコード１７０がユーザ情報記憶部１７に登録されている場合（Ｓ１１２でＹＥＳ）、登録処理部１８は、ポリシ記憶部１５を用いて、ユーザ情報に含まれているポリシＩＤに対応するセキュリティレベルと、対象レコード１７０のフィールド１７４に登録されているポリシＩＤに対応するセキュリティレベルとを比較する（Ｓ１１６）。
【００３８】
Ｓ１１６において、ユーザ情報に含まれているポリシＩＤに対応するセキュリティレベルが対象レコード１７０のフィールド１７４に登録されているポリシＩＤを持つポリシのセキュリティレベルよりも低い場合（Ｓ１１６でＹＥＳ）、登録処理部１８は、対象レコード１７０のフィールド１７３に、ユーザ情報に含まれているプロバイダＩＤを追加する（Ｓ１１７）。その後、このフローを終了する。
【００３９】
Ｓ１１６において、入力されたユーザ情報に含まれているポリシＩＤに対応するセキュリティレベルが対象レコード１７０のフィールド１７４に登録されているポリシＩＤに対応するセキュリティレベル以上である場合（Ｓ１１６でＮＯ）、登録処理部１８は、対象レコード１７０のフィールド１７３に、入力されたユーザ情報に含まれているプロバイダＩＤを追加すると共に（Ｓ１１９）、対象レコード１７０のフィールド１７４、１７６に登録されているポリシＩＤ、生体情報を、ユーザ情報のポリシＩＤ、生体情報に変更する（Ｓ１２０）。次に、登録処理部１８は、対象レコード１７０のフィールド１７４〜１７６に登録されているポリシＩＤ、生体情報種別、および生体情報を含む既存認証レコードの更新情報を生成する。そして、署名生成・検証部１４に、この既存認証レコードの更新情報に対するデジタル署名を依頼する。これを受けて、署名生成・検証部１４は、予め登録されている登録局の秘密鍵を用いてこの既存認証レコードの更新情報に対するデジタル署名を生成する。登録処理部１８は、このデジタル署名を既存認証レコードの更新情報に付加し、予め登録されている登録局の公開鍵証明書と共に、耐タンパデバイス４に送信する（Ｓ１２１）。その後、このフローを終了する。
【００４０】
図９は登録サーバ１のサービス利用回数リセット適否判断処理を説明するためのフロー図である。
【００４１】
登録処理部１８は、ネットワークＩＦ部１２を介して認証サーバ２からデジタル署名付きのサービス利用回数リセット要求をユーザの公開鍵証明書とともに受信すると（Ｓ１３１でＹＥＳ）、署名生成・検証部１４にこのデジタル署名の検証を依頼する。これを受けて、署名生成・検証部１４は、このデジタル署名と共に受信した公開鍵証明書を用いて、このデジタル署名を検証する（Ｓ１３２）。
【００４２】
さて、登録処理部１８は、署名生成・検証部１４によるデジタル署名の検証結果が検証成立の場合（Ｓ１３３でＹＥＳ）、リセット許可を示す応答を生成し、この応答に対するデジタル署名の生成を署名生成・検証部１４に依頼する（Ｓ１３４）。それから、Ｓ１３６に進む。一方、検証結果が検証失敗の場合（Ｓ１３３でＮＯ）、リセット不許可を示す応答を生成し、この応答に対するデジタル署名の生成を署名生成・検証部１４に依頼する（Ｓ１３５）。それから、Ｓ１３６に進む。
【００４３】
Ｓ１３６において、署名生成・検証部１４は、予め登録されている登録局の秘密鍵を用いてこの応答に対するデジタル署名を生成する。次に、登録処理部１８は、このデジタル署名付きの応答を、予め登録されている登録局の公開鍵証明書と共に、ネットワークＩＦ部１２を介して認証サーバ２に送信する。
【００４４】
次に、認証サーバ２について説明する。図１０は認証サーバ２の概略図である。
【００４５】
図示するように、認証サーバ２は、ネットワークＩＦ部２１と、入出力部２２と、署名生成・検証部２３と、セキュリティレベル記憶部２４と、認証プロバイダ記憶部２５と、ログ情報記憶部２６と、プロバイダ登録要求部２７と、認証処理部２８と、を有する。
【００４６】
ネットワークＩＦ部２１は、ネットワーク５を介して登録サーバ１およびサービス提供端末３と通信を行う。入出力部２２は、情報の入出力を行う。署名生成・検証部２４は、プロバイダ情報登録部２７およびポリシ検証部２８の指示に従い、予め登録されたサービスプロバイダの秘密鍵を用いて情報にデジタル署名を施す。また、公開鍵証明書を使ってデジタル署名を検証する。
【００４７】
セキュリティレベル記憶部２４には、本人確認のポリシ各々のセキュリティレベルが記憶されている。図１１はセキュリティレベル記憶部２４を模式的に表した図である。図示するように、セキュリティレベル記憶部２４には、ポリシ毎にレコード２４０が登録されている。レコード２４０は、ポリシＩＤを登録するフィールド２４１と、ポリシのセキュリティレベルを登録するフィールド２４２と、を有する。なお、レコード２４０のポリシＩＤとセキュリティレベルとの対応関係は、登録サーバ１のポリシ記憶部１５に記憶されているレコード１５０のポリシＩＤとセキュリティレベルとの対応関係と一致している。
【００４８】
認証プロバイダ記憶部２５には、自認証サーバ２によるユーザ認証を利用するサービスプロバイダ（認証プロバイダと呼ぶ）のプロバイダ情報が登録される。図１２は認証プロバイダ記憶部２５を模式的に表した図である。図示するように、認証プロバイダ記憶部２５には、認証プロバイダのレコード２５０が登録されている。レコード２５０は、認証プロバイダのプロバイダＩＤを登録するフィールド２５１と、認証プロバイダの名称を登録するフィールド２５２と、認証プロバイダが提供するサービスの種別を登録するフィールド２５３と、ユーザ認証に用いる生体情報を登録する際の本人確認に適用するポリシのポリシＩＤを登録するフィールド２５４と、ユーザ認証に用いる生体情報の種別を登録するフィールド２５５と、を有する。
【００４９】
ログ情報記憶部２６は、ユーザ認証のログ情報が記憶される。図１３はログ情報記憶部２６を模式的に表した図である。図示するように、ログ情報記憶部２６にはユーザ認証ログのレコード２６０が登録される。レコード２６０は、ユーザ認証を行ったユーザのユーザＩＤを登録するフィールド２６１と、該ユーザ認証の実施日時を登録するフィールド２６２と、該ユーザ認証の認証結果を登録するフィールド２６３と、を有する。
【００５０】
プロバイダ登録要求部２７は、認証プロバイダ情報の登録要求処理を行う。また、認証処理部２８は、サービス提供端末３と連携してユーザ認証を行うと共に、サービス利用回数リセット要求転送処理を行う。
【００５１】
上記構成の認証サーバ２も、登録サーバ１と同様に、例えば図６に示すようなコンピュータシステム（但し、耐タンパデバイス４に接続するための通信装置９０９は不要）において、ＣＰＵ９０１がメモリ９０２上にロードされたプログラムを実行することで実現できる。
【００５２】
次に、認証サーバ２の動作について説明する。
【００５３】
図１４は認証サーバ２の認証プロバイダ情報登録要求処理を説明するためのフロー図である。このフローは、プロバイダ登録要求部２７が、入出力部２２を介してオペレータから認証プロバイダ情報の登録要求を受付けることで開始される。
【００５４】
まず、プロバイダ登録要求部２７は、ネットワークＩＦ部２１を介して登録サーバ１に、プロバイダ情報の登録要求を送信する（Ｓ２０１）。それから、プロバイダ登録要求部２７は、ネットワークＩＦ部２１を介して登録サーバ１から入力フォームデータを受付けると（Ｓ２０２）、この入力フォームデータに従った入力フォーム画面を入出力部２２に接続された表示装置に表示する（Ｓ２０３）。そして、入出力部２２を介してオペレータからプロバイダ情報が入力されるのを待つ（Ｓ２０４）。ここで、プロバイダ情報は、サービスプロバイダのプロバイダＩＤ、サービスプロバイダの名称、サービスプロバイダが提供するサービスの種別、ユーザ認証に用いる生体情報を登録する際の本人確認に適用するポリシのポリシＩＤ、およびユーザ認証に用いる生体情報の種別を含むものとする。
【００５５】
さて、プロバイダ登録要求部２７は、入出力部２２を介してオペレータからプロバイダ情報を受け取ると（Ｓ２０４でＹＥＳ）、署名生成・検証部２３に対してこのプロバイダ情報に対するデジタル署名を依頼する。これを受けて、署名生成・検証部２３は、予め登録されている認証プロバイダの秘密鍵を用いてこのプロバイダ情報に対するデジタル署名を生成する。そして、このデジタル署名を予め登録されている認証プロバイダの公開鍵証明書と共にプロバイダ登録要求部２７に渡す。プロバイダ登録要求部２７は、プロバイダ情報にこのデジタル署名を付加し、公開鍵証明書と共に、ネットワークＩＦ部２１を介して、登録サーバ１に送信する（Ｓ２０５）。そして、登録サーバ１からプロバイダ情報を登録した旨のメッセージを受領したならば、プロバイダ情報を認証プロバイダ記憶部２５に記憶し（Ｓ２０６）、このフローを終了する。
【００５６】
図１５は認証サーバ２のユーザ認証処理を説明するためのフロー図である。このフローは、認証処理部２８が、ネットワークＩＦ部２１を介してサービス提供端末３からユーザ認証要求を受付けることで開始される。
【００５７】
まず、認証処理部２８は、ネットワークＩＦ部２１を介してサービス提供端末３から、サービスプロバイダのプロバイダＩＤおよびサービス種別と、耐タンパデバイス４に登録されているポリシＩＤおよび生体情報種別と、が送られてくるのを待つ（Ｓ２１１）。そして、これらの情報を受信したならば、署名生成・検証部２３に対して、プロバイダＩＤおよびサービス種別に付加されているデジタル署名と、ポリシＩＤおよび生体情報種別に付加されているデジタル署名とについて、それぞれ検証を依頼する。これを受けて、署名生成・検証部２３は、サービス提供端末３からこれらの情報と共に受け取ったサービスプロバイダの公開鍵証明書を用いて、プロバイダＩＤおよびサービス種別に付加されているデジタル署名を検証する。同様に、サービス提供端末３からこれらの情報と共に受け取った耐タンパデバイス４のユーザの公開鍵証明書を用いて、ポリシＩＤおよび生体情報種別に付加されているデジタル署名を検証する。
【００５８】
いずれかの署名検証が成立しなかった場合、認証処理部２８は、ネットワークＩＦ部２１を介してサービス提供端末３にエラーメッセージを送信するなどの所定のエラー処理を行い、その後、このフローを終了する。一方、両方の署名検証が成立した場合、認証処理部２８は、サービス提供端末３から受信したプロバイダＩＤ、サービス種別がフィールド１６２、１６３に登録されているレコード１６０をプロバイダ情報記憶部１６から検索し、検索したレコード１６０（検索レコード１６０と呼ぶ）のフィールド１６５に登録されている生体情報種別を特定する。そして、特定した生体情報種別がサービス提供端末３から受信した生体情報種別と一致するか否か判断する（Ｓ２１２）。
【００５９】
Ｓ２１２において、検索レコード１６０のフィールド１６５に登録されている生体情報種別がサービス提供端末３から受信した生体情報種別と一致しない場合（Ｓ２１２でＮＯ）、認証処理部２８は、ネットワークＩＦ部２１を介してサービス提供端末３にエラーメッセージを送信するなどの所定のエラー処理を行い（Ｓ２１８）、認証失敗を示すログ情報をログ情報記憶部２６に登録して（Ｓ２１９）、このフローを終了する。
【００６０】
一方、Ｓ２１２において、検索レコード１６０のフィールド１６５に登録されている生体情報種別がサービス提供端末３から受信した生体情報種別と一致する場合（Ｓ２１２でＹＥＳ）、認証処理部２８は、セキュリティレベル記憶部２４を用いて、サービス提供端末３から受信したポリシＩＤに対応するセキュリティレベルと、検索レコード１６０のフィールド１６４に登録されているポリシＩＤに対応するセキュリティレベルとを比較する（Ｓ２１３）。
【００６１】
Ｓ２１３において、サービス提供端末３から受信したポリシＩＤに対応するセキュリティレベルが検索レコード１６０のフィールド１６４に登録されているポリシＩＤを持つポリシのセキュリティレベルよりも低い場合（Ｓ２１３でＹＥＳ）、認証処理部２８は、ネットワークＩＦ部２１を介してサービス提供端末３にエラーメッセージを送信するなどの所定のエラー処理を行い（Ｓ２１８）、認証失敗を示すログ情報をログ情報記憶部２６に登録して（Ｓ２１９）、このフローを終了する。
【００６２】
一方、Ｓ２１３において、サービス提供端末３から受信したポリシＩＤに対応するセキュリティレベルが検索レコード１６０のフィールド１６４に登録されているポリシＩＤを持つポリシのセキュリティレベル以上である場合（Ｓ２１３でＮＯ）、認証処理部２８は、ネットワークＩＦ部２１を介してサービス提供端末３に本人確認ＯＫを示すメッセージを送信する（Ｓ２１４）。その後、認証処理部２８は、ネットワークＩＦ部２１を介してサービス提供端末３から生体認証の認証結果が送られてくるのを待つ（Ｓ２１５）。そして、生体認証の認証結果を受信したならば、署名生成・検証部２３に対して、該認証結果に付加されているデジタル署名の検証を依頼する。これを受けて、署名生成・検証部２３は、サービス提供端末３から生体認証の認証結果と共に受け取ったサービスプロバイダの公開鍵証明書を用いてデジタル署名を検証する。
【００６３】
署名検証が成立しなかった場合、認証処理部２８は、ネットワークＩＦ部２１を介してサービス提供端末３にエラーメッセージを送信するなどの所定のエラー処理を行い、その後、このフローを終了する。一方、署名検証が成立した場合、認証処理部２８は、生体認証の認証結果が認証成功を示しているか否かを判断する（Ｓ２１６）。認証成功を示しているならば（Ｓ２１６でＹＥＳ）、認証成功を示すログ情報をログ情報記憶部２６に登録して（Ｓ２１７）、このフローを終了する。認証失敗を示しているならば（Ｓ２１６でＮＯ）、認証失敗を示すログ情報をログ情報記憶部２６に登録して（Ｓ２１９）、このフローを終了する。
【００６４】
図１６は認証サーバ２のサービス利用回数リセット要求転送処理を説明するためのフロー図である。
【００６５】
認証処理部２８は、ネットワークＩＦ部２１を介してサービス提供端末３からデジタル署名付きのサービス利用回数リセット要求をユーザの公開鍵証明書と共に受信すると（Ｓ２３１でＹＥＳ）、これらを登録サーバ１に転送し（Ｓ２３２）、登録サーバ１からデジタル署名付きの応答が登録局の公開鍵証明書と共に送られてくるのを待つ（Ｓ２３３）。そして、受信したデジタル署名付き応答および公開鍵証明書を、サービス利用回数リセット要求の送信元であるサービス提供端末３に転送する（Ｓ２３４）。
【００６６】
次に、サービス提供端末３について説明する。図１７はサービス提供端末３の概略図である。
【００６７】
図示するように、サービス提供端末３は、耐タンパデバイスＩＦ部３１と、ネットワークＩＦ部３２と、入出力部３３と、署名生成・検証部３４と、認証処理部３５と、提供プロバイダ情報記憶部３６と、生体情報採取部３７と、サービス実行部３８と、を有する。
【００６８】
耐タンパデバイスＩＦ３１は、接触あるいは非接触で耐タンパデバイス４と通信を行なう。ネットワークＩＦ部３２は、ネットワーク５を介して登録サーバ１および認証サーバ２と通信を行う。入出力部３３は、情報の入出力を行う。署名生成・検証部３４は、サービス実行部３８の指示に従い、予め登録されたサービスプロバイダ（本サービス提供端末３がユーザに提供するサービスの提供元）の秘密鍵を用いて情報にデジタル署名を施す。また、公開鍵証明書を用いてデジタル署名を検証する。
【００６９】
提供プロバイダ情報記憶部３６には、自サービス提供端末３が提供するサービスの提供元であるサービスプロバイダ（提供プロバイダと呼ぶ）の情報が記憶されている。図１８は提供プロバイダ記憶部３６を模式的に表した図である。図示するように、提供プロバイダ記憶部３６には、提供プロバイダのレコード３６０が登録されている。レコード３６０は、提供プロバイダのプロバイダＩＤを登録するフィールド３６１と、提供プロバイダの名称を登録するフィールド３６２と、提供プロバイダが提供するサービスの種別を登録するフィールド３６３と、認証回数上限値を登録するフィールド３６４と、を有する。ここで、認証回数上限値は提供プロバイダが提供するサービスに対する耐タンパデバイス４の利用回数の上限値である。提供プロバイダが提供するサービスの利用回数が上限値に達した場合において、ユーザがこのサービスの利用を更に望む場合、耐タンパデバイス４内の認証回数をリセットしなければならない。
【００７０】
生体情報採取部３８は、提供プロバイダが生体認証に利用する種別の生体情報を耐タンパデバイス４のユーザから採取する。生体情報採取部３８は、既存の指紋センサ、虹彩撮像装置等を利用することができる。
【００７１】
サービス実行部３８は、提供プロバイダのサービス提供処理を行う。
【００７２】
上記構成のサービス提供端末３も、登録サーバ１と同様に、例えば図６に示すようなコンピュータシステムにおいて、ＣＰＵ９０１がメモリ９０２上にロードされたプログラムを実行することで実現できる。
【００７３】
次に、サービス提供端末３の動作について説明する。
【００７４】
図１９はサービス提供端末３のサービス提供処理を説明するためのフロー図である。このフローは、サービス実行部３８が、入出力部３３を介してしてユーザからサービス要求を受付けることで開始される。
【００７５】
まず、サービス実行部３８は、耐タンパデバイスＩＦ部３１を介してユーザの耐タンパデバイス４と通信可能な状態になるのを待つ（Ｓ３０１）。それから、サービス実行部３８は、署名生成・検証部３４に、提供プロバイダ記憶部３６に記憶されているプロバイダＩＤ、サービス種別、生体情報種別、および認証回数上限値に対するデジタル署名の生成を依頼する。これを受けて、署名生成・検証部３４は、予め登録されているユーザの秘密鍵を用いてプロバイダＩＤ、サービス種別、生体情報種別、および認証回数上限値に対するデジタル署名を生成する。サービス実行部３４は、このデジタル署名付きのプロバイダＩＤ、サービス種別、生体情報種別、および認証回数上限値を、ユーザの公開鍵証明書と共に、耐タンパデバイスＩＦ部３１を介して耐タンパデバイス４に送信する。そして、耐タンパデバイス４からの応答を待つ。
【００７６】
Ｓ３０１において、耐タンパデバイス４からの応答として、デジタル署名付きのポリシＩＤおよび生体情報種別をユーザの公開鍵証明書と共に受信した場合（Ｓ３０２でＹＥＳ）、サービス実行部３８は、提供プロバイダ記憶部３６に記憶されているプロバイダＩＤおよびサービス種別に対するデジタル署名の生成を署名生成・検証部３４に依頼する。これを受けて、署名生成・検証部３４は、予め登録されている提供プロバイダの秘密鍵を使ってプロバイダＩＤおよびサービス種別のデジタル署名を生成し、これを該プロバイダＩＤおよびサービス種別に付加する。そして、デジタル署名付きのポリシＩＤおよび生体情報種別と、ユーザの公開鍵証明書と、デジタル署名付きのプロバイダＩＤおよびサービス種別と、提供プロバイダの公開鍵証明書とを、ネットワークＩＦ部３２を介して所定の認証サーバ２に送信する（Ｓ３０３）。それから、サービス実行部３８は、認証サーバ２からメッセージが送られてくるのを待つ（Ｓ３０４）。そして、認証サーバ２から受信したメッセージが認証結果「ＯＫ」を示すメッセージであるか、それとも、認証結果「ＮＧ」を示すメッセージであるかを判断する（Ｓ３０５）。
【００７７】
Ｓ３０５において、受信したメッセージが認証結果「ＮＧ」を示すメッセージである場合（Ｓ３０５でＮＯ）、サービス実行部３８は、入出力部３３からエラーメッセージを出力するなどの所定のエラー処理を行い（Ｓ３１７）、このフローを終了する。
【００７８】
一方、Ｓ３０５において、受信したメッセージが認証結果「ＯＫ」を示すメッセージである場合（Ｓ３０５でＹＥＳ）、サービス実行部３８は、耐タンパデバイスＩＦ部３１を介して耐タンパデバイス４に、提供プロバイダ記憶部３６に記憶されている生体情報種別を送信して、耐タンパデバイス４から当該種別の生体情報が送られてくるのを待つ（Ｓ３０６）。そして、サービス実行部２７は、耐タンパデバイス４からデジタル署名付きの生体情報を、ユーザの公開鍵証明書と共に受信すると、当該デジタル署名の検証を署名生成・検証部３４に依頼する。これを受けて、署名生成・検証部３４は、耐タンパデバイス４から受け取った生体情報のデジタル署名をユーザの公開鍵証明書を使って検証する。検証に失敗した場合は、入出力部３３からエラーメッセージを出力するなどの所定のエラー処理を行い、このフローを終了する。一方、検証に成功した場合は、生体情報採取装置３７を用いて耐タンパデバイス４のユーザから、提供プロバイダ記憶部３６に記憶されている生体情報種別の生体情報を採取する（Ｓ３０７）。そして、採取した生体情報と、耐タンパデバイス４から受信した生体情報とを照合し、両者が整合しているか否かを判断する（Ｓ３０８）。
【００７９】
Ｓ３０８において、両者が整合していない場合（Ｓ３０８でＮＯ）、サービス実行部３８は、入出力部３３からエラーメッセージを出力すると共に、認証不成立を示す認証結果のメッセージを、ネットワークＩＦ部３２を介して所定の認証サーバ２に送信し（Ｓ３１７）、このフローを終了する。
【００８０】
一方、Ｓ３０８において、両者が整合している場合（Ｓ３０８でＹＥＳ）、認証成立を示すメッセージを、ネットワークＩＦ部３２を介して所定のサーバ２に送信する（Ｓ３０９）。それから、サービス実行部３８は、入出力部３３を介して、耐タンパデバイス４のユーザに対して、インターネット接続サービス、ネットバンキング、Ｗｅｂショッピング等の、所定のサービス（提供プロバイダが提供するサービスであって、提供プロバイダ記憶部３６に記憶されているサービス種別のサービス）の提供を開始する（Ｓ３１０）。その後、提供プロバイダのプロバイダＩＤおよびサービス種別を耐タンパデバイス４に送信して、耐タンパデバイス４に当該サービスの利用回数のインクリメントを要求する（Ｓ３１１）。
【００８１】
また、Ｓ３０１において、耐タンパデバイス４からの応答として、デジタル署名付きの利用回数リセット要求をユーザの公開鍵証明書と共に受信した場合（Ｓ３１２でＹＥＳ）、サービス実行部３８は、ネットワークＩＦ部３２を介して所定の認証サーバ２にこれらを転送する（Ｓ３１３）。そして、該認証サーバ２からデジタル署名付きの利用回数リセット許可を登録局の公開鍵証明書と共に受信したならば（Ｓ３１４）、これを耐タンパデバイス４に送信する（Ｓ３１５）。なお、該認証サーバ２から利用回数リセット拒否の応答を受信した場合、サービス実行部３８は、入出力部３３からエラーメッセージを出力するなどの所定のエラー処理を行い、このフローを終了する。
【００８２】
また、Ｓ３０１において、耐タンパデバイス４からの応答としてエラーメッセージを受信した場合（Ｓ３１６でＹＥＳ）、サービス実行部３８は、入出力部３３からエラーメッセージを出力するなどの所定のエラー処理を行い（Ｓ３１７）、このフローを終了する。
【００８３】
次に、耐タンパデバイス４について説明する。図２０は耐タンパデバイス４の概略図である。
【００８４】
図示するように、耐タンパデバイス４は、通信ＩＦ部４１と、署名生成・検証部４２と、認証情報記憶部４３と、利用回数記憶部４４と、アクセス制御部４５と、を有する。
【００８５】
通信ＩＦ４１は、接触あるいは非接触で登録サーバ１およびサービス提供端末３と通信を行なう。署名生成・検証部４２は、記憶制御部４５の指示に従い、予め登録された自ユーザ（本耐タンパデバイス４のユーザ）の秘密鍵を用いて情報にデジタル署名を施す。また、公開鍵証明書を用いてデジタル署名を検証する。
【００８６】
認証情報記憶部４３には、自ユーザの認証情報が記憶される。図２１は認証情報記憶部４３を模式的に表した図である。図示するように、認証情報記憶部４３には、生体情報の種別毎にレコード４３０が登録される。レコード４３０は、生体情報種別を登録するフィールド４３１と、自ユーザから採取したこの生体情報種別の生体情報を登録するフィールド４３２と、この生体情報種別の生体情報を登録する際の本人確認に適用されたポリシのポリシＩＤを登録するフィールド４３３と、を有する。
【００８７】
利用回数記憶部４４は、自ユーザのサービス利用回数に関する情報が記憶される。図２２は利用回数記憶部４４を模式的に表した図である。図示するように、利用回数記憶部４４には、プロバイダＩＤおよびサービス種別の組合せ毎にレコード４４０が登録される。レコード４４０は、自ユーザが利用したサービスを提供するサービスプロバイダのプロバイダＩＤを登録するフィールド４４１と、このサービスのサービス種別を登録するフィールド４４２と、このサービスの利用回数を登録するフィールド４４３と、を有する。
【００８８】
アクセス制御部４５は、自ユーザの認証情報の登録・更新処理と、サービス要求処理とを行う。
【００８９】
上記構成の耐タンパデバイス４は、例えば図２３に示すような、ＣＰＵ９５１と、ＣＰＵ９５１のワークエリアとして機能するメモリ９５２と、プログラムおよびデータを保存するためのフラッシュメモリ９５３と、登録サーバ１およびサービス提供端末３に接続するための通信装置９５４と、を備えた計算機能付き記憶媒体（例えばＩＣカード）において、ＣＰＵ９５１がフラッシュメモリ９５３に格納されているプログラムを実行することで実現できる。
【００９０】
次に、耐タンパデバイス４の動作について説明する。
【００９１】
図２４は耐タンパデバイス４の認証情報登録・更新処理を説明するためのフロー図である。
【００９２】
記憶制御部４５は、通信ＩＤ部４１を介して登録サーバ１と通信可能な状態になると（Ｓ４０１でＹＥＳ）、登録サーバ１から認証レコードの情報が送られてくるのを待つ。そして、登録サーバ１から認証レコードの情報が送られてきたならば、署名生成・検証部４２に、この認証レコードの情報に付加されているデジタル署名の署名検証を依頼する。これを受けて、署名生成・検証部４２は、この認証レコードの情報と共に登録サーバ１から受け取った登録局の公開鍵証明書を用いてデジタル署名を検証する。検証失敗の場合は、エラーメッセージを登録サーバ１に送信するなどの所定のエラー処理を行って、このフローを終了する。
【００９３】
一方、検証成功の場合、記憶制御部４５は、登録サーバ１から受信した認証レコードの情報が新規認証レコードの情報ならば（Ｓ４０２でＹＥＳ）、認証情報記憶部４３に新たなレコード４３０を追加し、このレコード４３０のフィールド４３１〜４３３に、受信した新規認証レコードの情報に含まれている生体情報種別、生体情報、およびポリシＩＤを登録する（Ｓ４０３）。また、記憶制御部４５は、登録サーバ１から受信した認証レコードの情報が既存認証レコードの更新情報ならば（Ｓ４０４でＹＥＳ）、この既存認証レコードの更新情報に含まれている生体情報種別がフィールド４３１に登録されているレコード４３０を、認証情報記憶部４３から検索する。そして、検索したレコード４３０のフィールド４３２、４３３に登録されている生体情報、ポリシＩＤを、この既存認証レコードの更新情報に含まれている生体情報、ポリシＩＤに更新する（Ｓ４０５）。
【００９４】
図２５は耐タンパデバイス４のサービス要求処理を説明するためのフロー図である。
【００９５】
先ず、記憶制御部４５は、通信ＩＤ部４１を介してサービス提供端末３と通信可能な状態になると（Ｓ４１１でＹＥＳ）、サービス提供端末３からプロバイダＩＤ、サービス種別、生体情報種別、および認証回数上限値がサービスプロバイダの公開鍵証明書と共に送られてくるのを待つ。そして、サービス提供端末３からプロバイダＩＤ、サービス種別、生体情報種別、および認証回数上限値が送られてきたならば（Ｓ４１２でＹＥＳ）、署名生成・検証部４２に、これらの情報に付加されているデジタル署名の署名検証を依頼する。これを受けて、署名生成・検証部４２は、これらの情報と共にサービス提供端末３から受け取ったユーザの公開鍵証明書を用いてデジタル署名を検証する。検証失敗の場合は、エラーメッセージをサービス提供端末３に送信するなどの所定のエラー処理を行って、このフローを終了する。
【００９６】
一方、検証成功の場合、記憶制御部４５は、サービス提供端末３から受信したプロバイダＩＤ、サービス種別を持つ利用回数レコード４４０を利用回数記憶部４４から検索する（Ｓ４１３）。該当する利用回数レコード４４０がない場合、新たな利用回数レコード４４０を利用回数記憶部４４に追加し、該レコード４４０のフィールド４４１、４４２に、サービス提供端末３から受信したプロバイダＩＤ、サービス種別を登録する。また、フィールド４４３に利用回数の初期値「０」を登録する。
【００９７】
次に、記憶制御部４５は、検索したもしくは新たに追加した利用回数レコード４４０のフィールド４４３に登録されている利用回数が、サービス提供端末３から受け取った認証回数上限値未満であるか否かを調べる（Ｓ４１４）。
【００９８】
Ｓ４１４において、検索したもしくは新たに追加した利用回数レコード４４０のフィールド４４３に登録されている利用回数が認証回数上限値未満である場合（Ｓ４１４でＹＥＳ）、記憶制御部４５は、サービス提供端末３から受信した生体情報種別がフィールド４３１に登録されている認証レコード４３０を認証情報記憶４３から検索する（Ｓ４１５）。そして、検索した認証レコード４３０のフィールド４３１、４３３に登録されている生体情報種別、ポリシＩＤを特定し、これらの情報に対するデジタル署名の生成を署名生成・検証部４２に依頼する。これを受けて、署名生成・検証部４２は、予め登録されているユーザの秘密鍵を用いて、特定した生体情報種別、ポリシＩＤに対するデジタル署名を生成する。記憶制御部４５は、このデジタル署名付きの生体情報種別、ポリシＩＤを、予め登録されているユーザの公開鍵証明書と共に、通信ＩＦ部４１を介してサービス提供端末３に送信する（Ｓ４１６）。それから、記憶制御部４５は、通信ＩＦ部４１を介してサービス提供端末３から、サービス提供の可否についての通知が送られてくるのを待つ（Ｓ４１７）。
【００９９】
Ｓ４１７において、サービス提供端末３から受け取った通知がサービス許可通知である場合（Ｓ４１７でＹＥＳ）、記憶制御部４５は、検索したもしくは新たに追加した利用回数レコード４４０のフィールド４４３に登録されている利用回数を１つインクリメントし（Ｓ４１８）、このフローを終了する。一方、Ｓ４１７において、サービス提供端末３から受け取った通知がサービス拒否通知である場合（Ｓ４１７でＮＯ）、記憶制御部４５は、エラーメッセージをサービス提供端末３に送信するなどの所定のエラー処理を行って（Ｓ４２２）、このフローを終了する。
【０１００】
また、Ｓ４１４において、検索したもしくは新たに追加した利用回数レコード４４０のフィールド４４３に登録されている利用回数が認証回数上限値以上である場合（Ｓ４１４でＮＯ）、記憶制御部４５は、利用回数リセット要求を生成し、この利用回数リセット要求に対するデジタル署名の生成を署名生成・検証部４２に依頼する。これを受けて、署名生成・検証部４２は、予め登録されているユーザの秘密鍵を用いて、利用回数リセット要求に対するデジタル署名を生成する。記憶制御部４５は、このデジタル署名付きの利用回数リセット要求を、予め登録されているユーザの公開鍵証明書と共に、通信ＩＦ部４１を介してサービス提供端末３に送信する（Ｓ４１９）。それから、記憶制御部４５は、通信ＩＦ部４１を介してサービス提供端末３から、利用回数リセットの可否についての応答が送られてくるのを待つ（Ｓ４２０）。
【０１０１】
Ｓ４２０において、サービス提供端末３から受け取った応答がリセット許可応答である場合（Ｓ４２０でＹＥＳ）、Ｓ４１４で検索もしくは新たに追加した利用回数レコード４４０のフィールド４４３に登録されている利用回数を「０」にリセットし（Ｓ４２１）、このフローを終了する。一方、Ｓ４２０において、サービス提供端末３から受け取った応答がリセット拒否応答である場合（Ｓ４２０でＮＯ）、エラーメッセージをサービス提供端末３に送信するなどの所定のエラー処理を行い（Ｓ４２２）、このフローを終了する。
【０１０２】
次に、上記構成の認証システム全体の概略動作を説明する。
【０１０３】
図２６はプロバイダ情報登録における登録サーバ１および認証サーバ２の概略動作を説明するための図である。
【０１０４】
認証サーバ２は、オペレータ（サービスプロバイダ）からプロバイダ情報の登録指示を受付けると、プロバイダ情報の登録要求を生成して、登録サーバに送信する（Ｓ５０１、図１４のＳ２０１）。登録サーバ１は、認証サーバ２からプロバイダ情報の登録要求を受信すると、プロバイダ情報の入力フォームを認証サーバ２に送信する（Ｓ５１１、図７のＳ１０１）。認証サーバ２は、登録サーバ１から受信した入力フォームを表示して（Ｓ５０２）、オペレータからプロバイダ情報を受付ける。そして、受付けたプロバイダ情報を登録サーバ１に送信すると共に、認証プロバイダ記憶部２５に記憶する（Ｓ５０３、図１４のＳ２０５、Ｓ２０６）。登録サーバ１は、認証サーバ２から受信したプロバイダ情報をプロバイダ情報記憶部１６に記憶する（Ｓ５１２、図７のＳ１０３）。
【０１０５】
図２７はユーザ情報登録における登録サーバ１および耐タンパデバイス４の概略動作を説明するための図である。
【０１０６】
登録サーバ１は、オペレータ（登録局）から耐タンパデバイス４のユーザ情報を受け取ると、当該ユーザ情報と同じユーザＩＤ、生体情報種別を持つユーザ情報のレコードがユーザ情報記憶部１７に登録されているか否かを調べ、登録されていない場合はユーザ情報のレコードを新規登録し、登録されている場合は、ユーザ情報のレコードを更新する（Ｓ５２１、図８のＳ１１３、Ｓ１１７、Ｓ１１９、Ｓ１２０）。次に、登録サーバ１は、新規登録もしくは更新したユーザ情報のレコードに対応する認証レコードの情報を耐タンパデバイス４に送信する（Ｓ５２２、図８のＳ１１４、Ｓ１２１）。耐タンパデバイス４は、登録サーバ１から認証レコードの情報を受信すると、該情報が新規認証レコードの情報ならば、認証情報記憶部４３にこの新規認証レコードを追加する。該情報が既存認証レコードの更新情報ならば、認証情報記憶部４３に記憶されているこの既存認証レコードをこの更新情報で更新する（Ｓ５３１、図２４のＳ４０３、Ｓ４０５）。
【０１０７】
図２８はサービス提供開始における認証サーバ２、サービス提供端末３、および耐タンパデバイス４の概略動作を説明するための図である。
【０１０８】
サービス提供端末３は、提供プロバイダ記憶部３６に記憶されているプロバイダＩＤ、サービス種別、および生体情報種別を耐タンパデバイス４に送信する（Ｓ５４１、図１９のＳ３０１）。これを受けて、耐タンパデバイス４は、受信した生体情報種別に対応するポリシＩＤを認証情報記憶部４３から検索し、このポリシＩＤを生体情報種別と共にサービス提供端末３に送信する（Ｓ５５１、図２５のＳ４１６）。サービス提供端末３は、耐タンパデバイス４から受信したポリシＩＤおよび生体情報種別を認証サーバ２に送信する（Ｓ５４２、図１９の３０３）。
【０１０９】
次に、認証サーバ２は、サービス提供端末３から受信した耐タンパデバイス内のポリシＩＤおよび生体情報種別を用いて本人確認の検証を行い（Ｓ５６１、図１５のＳ２１３）、検証ＯＫならば、その旨の通知をサービス提供端末３に送信する（Ｓ５６２、図１５のＳ２１４）。サービス提供端末３は、認証サーバ２から本人確認ＯＫの通知を受信すると、耐タンパデバイス４のユーザから生体情報を採取する。また、耐タンパデバイス４から生体情報を取得する（Ｓ５５２、図２５のＳ４１６）。そして、生体認証を行う（Ｓ５４３、図１９のＳ３０８）。次に、サービス提供端末３は、生体認証が成立したならば、その旨を認証サーバ２、耐タンパデバイス４に通知する（Ｓ５４４、図１９のＳ３０９）。それから、サービスの提供を開始する（Ｓ５４５、図１９のＳ３１０）。
【０１１０】
耐タンパデバイス４は、サービス提供端末３から生体認証成立の通知を受けたならば、利用回数記憶部４４に記憶されている、サービス提供端末３の提供プロバイダ記憶部３６に記憶されているプロバイダＩＤおよびサービス種別を持つ利用回数レコードの利用回数を１つインクリメントする（Ｓ５５３、図２５のＳ４１８）。また、認証サーバ２は、サービス提供端末３から生体認証成立の通知を受けたならば、ログ情報記憶部２６にログを登録する（Ｓ５６３、図１５のＳ２１７）。
【０１１１】
図２９はサービス利用回数のリセットにおける登録サーバ１、認証サーバ２、サービス提供端末３、および耐タンパデバイス４の概略動作を説明するための図である。
【０１１２】
サービス提供端末３は、提供プロバイダ記憶部３６に記憶されているプロバイダＩＤ、サービス種別、および生体情報種別を耐タンパデバイス４に送信する（Ｓ５７０、図１９のＳ３０１）。これを受けて、耐タンパデバイス４は、受信したプロバイダＩＤ、サービス種別に対応する利用回数を利用回数記憶部４４から検索し、この利用回数が所定の上限値以上であることを確認したならば、サービス利用回数のリセット要求を送信する（Ｓ５８１、図２５のＳ４１９）。このリセット要求は、サービス提供端末３および認証サーバ２を介して、登録サーバ１に転送される。登録サーバ１は、認証サーバ２から受信したリセット要求の可否を判断する（Ｓ５９１、図９のＳ１３２）。検証成功したならば、リセットを許可する旨の応答を認証サーバ２に送信する（Ｓ５９２、図９のＳ１３６）。この応答は、認証サーバ２およびサービス提供端末３を介して耐タンパデバイス４に転送される。耐タンパデバイス４は、リセットを許可する旨の応答に従い、サービス利用回数をリセットする（Ｓ５８２、図２５のＳ４２１）。
【０１１３】
以上、本発明の一実施形態について説明した。
【０１１４】
本発明によれば、ユーザは、自身の耐タンパデバイス４を用いて、当該耐タンパデバイス４に登録されているポリシよりも低いセキュリティレベルの本人確認を要求するサービスに対して、生体情報を用いたユーザ認証を受けることができる。したがって、ユーザは、サービス毎に、生体情報の登録を登録局（登録サーバ１）に依頼する必要がなくなり、作業負担を軽減できる。また、各サービス提供者（認証サーバ２、サービス提供端末３）は、所望のセキュリティレベル以上の本人確認により登録された生体情報を使ってユーザ認証を行うことができる。
【０１１５】
なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。たとえば、上記の実施形態では、認証サーバ２およびサービス提供端末３を一台のコンピュータシステム上に統合してもよい。
【０１１６】
また、上記の実施形態において、耐タンパデバイス４の認証情報記憶部４３に記憶されている各レコードに、フィールドを追加し、該フィールドに当該レコードに登録されている認証情報で利用可能なサービスプロバイダのプロバイダＩＤおよびサービス種別を登録してもよい。
【図面の簡単な説明】
【０１１７】
【図１】図１は本発明の一実施形態が適用された認証システムの概略図である。
【図２】図２は登録サーバ１の概略図である。
【図３】図３はポリシ記憶部１５を模式的に表した図である。
【図４】図４はプロバイダ情報記憶部１６を模式的に表した図である。
【図５】図５はユーザ情報記憶部１７を模式的に表した図である。
【図６】図６は登録サーバ１、認証サーバ２、およびサービス提供端末３のハードウエア構成例を示す図である。
【図７】図７は登録サーバ１のプロバイダ情報登録処理を説明するためのフロー図である。
【図８】図８は登録サーバ１のユーザ情報登録処理を説明するためのフロー図である。
【図９】図９は登録サーバ１のサービス利用回数リセット適否判断処理を説明するためのフロー図である。
【図１０】図１０は認証サーバ２の概略図である。
【図１１】図１１はセキュリティレベル記憶部２４を模式的に表した図である。
【図１２】図１２は認証プロバイダ記憶部２５を模式的に表した図である。
【図１３】図１３はログ情報記憶部２６を模式的に表した図である。
【図１４】図１４は認証サーバ２の認証プロバイダ情報登録要求処理を説明するためのフロー図である。
【図１５】図１５は認証サーバ２のユーザ認証処理を説明するためのフロー図である。
【図１６】図１６は認証サーバ２のサービス利用回数リセット要求転送処理を説明するためのフロー図である。
【図１７】図１７はサービス提供端末３の概略図である。
【図１８】図１８は提供プロバイダ記憶部３６を模式的に表した図である。
【図１９】図１９はサービス提供端末３のサービス提供処理を説明するためのフロー図である。このフローは、サービス実行部３８が、入出力部３３を介してしてユーザからサービス要求を受付けることで開始される。
【図２０】図２０は耐タンパデバイス４の概略図である。
【図２１】図２１は認証情報記憶部４３を模式的に表した図である。
【図２２】図２２は利用回数記憶部４４を模式的に表した図である。
【図２３】図２３は耐タンパデバイス４のハードウエア構成例を示す図である。
【図２４】図２４は耐タンパデバイス４の認証情報登録・更新処理を説明するためのフロー図である。
【図２５】図２５は耐タンパデバイス４のサービス要求処理を説明するためのフロー図である。
【図２６】図２６はプロバイダ情報登録における登録サーバ１および認証サーバ２の概略動作を説明するための図である。
【図２７】図２７はユーザ情報登録における登録サーバ１および耐タンパデバイス４の概略動作を説明するための図である。
【図２８】図２８はサービス提供開始における認証サーバ２、サービス提供端末３、および耐タンパデバイス４の概略動作を説明するための図である。
【図２９】図２９はサービス利用回数のリセットにおける登録サーバ１、認証サーバ２、サービス提供端末３および耐タンパデバイス４の概略動作を説明するための図である。
【符号の説明】
【０１１８】
１…登録サーバ、２…認証サーバ、３…サービス提供端末、４…耐タンパデバイス、５…ネットワーク
【図１】
0004684100.tif 000002
【図２】
0004684100.tif 000003
【図３】
0004684100.tif 000004
【図４】
0004684100.tif 000005
【図５】
0004684100.tif 000006
【図６】
0004684100.tif 000007
【図７】
0004684100.tif 000008
【図８】
0004684100.tif 000009
【図９】
0004684100.tif 000010
【図１０】
0004684100.tif 000011
【図１１】
0004684100.tif 000012
【図１２】
0004684100.tif 000013
【図１３】
0004684100.tif 000014
【図１４】
0004684100.tif 000015
【図１５】
0004684100.tif 000016
【図１６】
0004684100.tif 000017
【図１７】
0004684100.tif 000018
【図１８】
0004684100.tif 000019
【図１９】
0004684100.tif 000020
【図２０】
0004684100.tif 000021
【図２１】
0004684100.tif 000022
【図２２】
0004684100.tif 000023
【図２３】
0004684100.tif 000024
【図２４】
0004684100.tif 000025
【図２５】
0004684100.tif 000026
【図２６】
0004684100.tif 000027
【図２７】
0004684100.tif 000028
【図２８】
0004684100.tif 000029
【図２９】
0004684100.tif 000030