(57)【要約】【課題】  ユーザ管理コストが低く、セキュリティとプライバシの高いユーザ認証システムを実現する。【解決手段】  管理者を登録する際、管理者登録端末100は、公開鍵（Pa）と秘密鍵（Sa）134を生成し、管理者の生体情報を取得してテンプレートを作成し、公開鍵（Pa）とテンプレートの組に対して電子署名を生成し、管理者認証データ117を作成して認証装置110へ送信し、また秘密鍵（Sa）134を管理トークン130に送信する。認証装置110は管理者認証データ117を受信し、保存する。【選択図】  図１
2005115583.tif 000002
【特許請求の範囲】
【請求項１】
生体情報取得機能と、通信機能と、登録端末識別情報を持つ管理者登録端末と、
生体情報照合機能と、通信機能と、認証装置識別情報を持つ認証装置と、
生体情報取得機能と、通信機能と、管理トークン識別情報を持つ管理トークンと、
生体情報取得機能と、通信機能と、ユーザトークン識別情報を持つユーザトークンと、
から成るユーザ認証システムにおいて、
当該システムの管理者を登録する際に、
前記管理者登録端末は管理者の生体情報を取得し、管理者識別情報を作成して前記認証装置へ送信し、
前記認証装置は、前記管理者識別情報を受信して保存し、
次に管理者が当該システムのユーザを登録あるいは更新する際に、
前記認証装置は前記管理トークンの識別情報を確認し、
前記管理トークンは管理者の生体情報を取得して前記認証装置へ送信し、
前記認証装置は前記生体情報を受信し、前記管理者識別情報と照合し、一致した場合、
前記管理トークンはユーザの生体情報を取得して前記認証装置へ送信し、
前記認証装置は前記生体情報を受信し、ユーザ識別情報を作成して保存し、
次にユーザが当該システムを利用する際に、
前記ユーザトークンはユーザの生体情報を取得して前記認証装置へ送信し、
前記認証装置は前記生体情報を受信し、前記ユーザ識別情報と照合し、一致した場合に正規のユーザとして認証することを特徴とするユーザ認証システム。
【請求項２】
管理者が当該システムのユーザを登録あるいは更新する際に、
前記認証装置は前記管理トークンの識別情報を確認し、
前記管理トークンは管理者の生体情報を取得して前記認証装置へ送信し、
前記認証装置は前記生体情報を受信し、前記管理者識別情報と照合し、一致した場合、
前記管理トークンはユーザの生体情報を取得して前記認証装置へ送信し、
前記認証装置は前記生体情報を受信し、ユーザ識別情報を作成し、
前記ユーザトークンはユーザの生体情報を取得し、前記生体情報と前記ユーザトークン識別情報を前記認証装置へ送信し、
前記認証装置は前記生体情報と前記ユーザトークン識別情報を受信し、前記生体情報と前記ユーザ識別情報を照合し、一致した場合に前記ユーザ識別情報と前記ユーザトークン識別情報を保存し、
次にユーザが当該システムを利用する際に、
前記認証装置は前記ユーザトークンの識別情報を確認し、
前記ユーザトークンはユーザの生体情報を取得して前記認証装置へ送信し、
前記認証装置は前記生体情報を受信し、前記ユーザ識別情報と照合し、一致した場合に正規のユーザとして認証することを特徴とする請求項１記載のユーザ認証システム。
【請求項３】
前記認証装置は「未登録」状態で初期化された初期登録フラグを持ち、
前記システムの管理者を登録する際に、
前記認証装置は前記初期登録フラグが「未登録」の場合に限り管理者の登録を許可し、前記初期登録フラグを「登録済み」状態に書換える、
ことを特徴とする請求項１または２記載のユーザ認証システム。
【請求項４】
通信機能と、管理端末識別情報を持つ管理端末と、
暗号処理機能と、生体情報照合機能と、通信機能と、認証装置識別情報を持つ認証装置と、
暗号処理機能と、生体情報取得機能と、通信機能と、暗号鍵と、ユーザトークン識別情報を持つユーザトークンと、
から成るユーザ認証システムにおいて、
管理者が当該システムのユーザを仮登録する際に、
前記ユーザトークンはユーザの生体情報を取得し、ユーザ識別情報を作成し、前記ユーザ識別情報を前記暗号鍵を用いて暗号化し、暗号化ユーザ識別情報と前記ユーザトークン識別情報を前記管理端末へ送信し、
前記管理端末は前記暗号化ユーザ識別情報と前記ユーザトークン識別情報を保存し、
管理者が当該システムのユーザを登録あるいは更新する際に、
前記認証装置は前記管理端末の識別情報を確認し、
前記管理端末は、指定されたユーザの前記暗号化ユーザ識別情報と前記ユーザトークン識別情報を、前記認証装置へ送信し、
前記認証装置は前記暗号化ユーザ識別情報と前記ユーザトークン識別情報を受信して保存し、
次にユーザが当該システムを利用する際に、
前記ユーザトークンはユーザの生体情報を取得し、前記生体情報と前記暗号鍵を前記認証装置へ送信し、
前記認証装置は前記生体情報と前記暗号鍵を受信し、前記暗号鍵を用いて前記暗号化ユーザ識別情報を復号化してユーザ識別情報を抽出し、前記ユーザ識別情報と前記生体情報を照合し、一致した場合に正規のユーザとして認証し、照合結果に依らず照合終了時に前記ユーザ識別情報と前記暗号鍵を削除することを特徴とするユーザ認証システム。
【請求項５】
ユーザが前記システムを利用する際に、
前記ユーザトークンは前記認証装置の識別情報を確認し、
前記認証装置は前記ユーザトークンの識別情報を確認し、
前記ユーザトークンはユーザの生体情報を取得し、前記生体情報と前記暗号鍵を前記認証装置へ送信し、
前記認証装置は前記生体情報と前記暗号鍵を受信し、前記暗号鍵を用いて前記暗号化ユーザ識別情報を復号化してユーザ識別情報を抽出し、前記ユーザ識別情報と前記生体情報を照合し、一致した場合に正規のユーザとして認証し、照合結果に依らず照合終了時に前記ユーザ識別情報と前記暗号鍵を削除する、
ことを特徴とする請求項４記載のユーザ認証システム。
【請求項６】
前記管理トークンと前期認証装置の間の通信、および前記ユーザトークンと前記認証装置の間の通信を、暗号化する、
ことを特徴とする請求項５記載のユーザ認証システム。
【請求項７】
前記システムはGPS機能を有し、
管理者が当該システムのユーザを登録あるいは更新する際に、
前記認証装置の位置情報を取得し、あらかじめ指定された位置にある場合にのみ登録あるいは更新を許可する、
ことを特徴とする請求項１ないし６記載のユーザ認証システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トークンと生体情報の組合せを用いたユーザ認証システム関する。
【背景技術】
【０００２】
コンピュータシステムへのログインにトークンと生体情報を組合わせた認証を用いる技術として、例えば、特許文献１に記載の技術が知られている。この技術では、トークンがユーザの指紋情報を取得し、トークン内に保管されているテンプレートと照合して、照合成功時にコンピュータシステムに対してユーザＩＤとパスワードを送信する。
【０００３】
またユーザ端末へサービスを提供する際にユーザの生体情報を用いて認証する技術として、特許文献２に記載の技術がある。この技術では、ユーザ端末に接続した生体情報の入力装置からユーザが入力した生体情報を、正当なユーザに対してサービスを提供するWebサーバへ送信し、Webサーバは受信した生体情報を認証サーバへ送信する。認証サーバは、ユーザのテンプレートを集中して管理しており、受信した生体情報と登録生体情報を照合することでユーザを認証し、認証結果をWebサーバへ送信する。
【０００４】
【特許文献１】特開平11-25246号公報
【０００５】
【特許文献２】特開2000-92046号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
持ち物（トークン）やパスワードを用いた認証技術は、トークンを盗まれたりパスワードを推定された場合に、不正なユーザを認証してしまう可能性があり、セキュリティ上の問題がある。そこで、指紋など個人の生体情報に基づく認証（生体認証）が有効である。
【０００７】
しかし生体認証の精度は１００％ではなく、誤って他人を受容れることがある。また指紋などの生体情報が比較的簡単に偽造できることが知られている。そこで、トークンやパスワードと生体認証を組合わせることが必要となる。特にトークンと生体認証の組合せは、利便性と安全性が高いという特長を持つ。
【０００８】
トークンと生体認証を組合わせた場合、生体情報のセンサは、ドア等の保護対象の側に付加する方法と、トークン側に付加する方法があるが、自動車など、温度・湿気・振動などに対する高い耐久性が必要とされる場合には、トークン側に付加する必要がある。
【０００９】
このようにトークンにセンサを付加し、トークンと生体情報を組合わせた認証技術として、前述の特許文献１に記載の技術がある。しかしこの技術はトークン内にユーザのテンプレートが保管するため、ユーザとトークンの対応を変更する場合などに、テンプレートを登録しなおす必要がある。またこの技術は、生体情報の登録をユーザ自身で行うため、他人が自分の生体情報を不正に登録することを防ぐことができない。
【００１０】
また、特許文献２に記載の技術は、ユーザのテンプレートを認証サーバが一括して管理するため、プライバシ上の問題があり、テンプレートを安全に管理するための管理コストが増大する。また自動車のドアロックなどに利用する場合、地理的に自動車と認証サーバ間の通信が不可能になることもあり、この場合ユーザが認証を受けられなくなる。
【００１１】
不正な生体情報の登録を防ぐためには、ユーザとトークンの対応を、登録時に管理者が確認する必要がある。更に、管理者への不正ななりすましを防ぐことが重要となる。
【００１２】
また、多数のユーザのテンプレートを管理する場合、プライバシの確保や、テンプレートの漏洩によるセキュリティの低下を防ぐ必要がある。
【００１３】
本発明の目的は、トークンと生体認証を組合わせ、セキュリティが高く、簡便でコストの低いユーザ管理を実現することである。
【課題を解決するための手段】
【００１４】
本発明は以上の課題を解決するため、生体情報取得機能と、通信機能と、登録端末識別情報を持つ管理者登録端末と、生体情報照合機能と、通信機能と、認証装置識別情報を持つ認証装置と、生体情報取得機能と、通信機能と、管理トークン識別情報を持つ管理トークンと、生体情報取得機能と、通信機能と、ユーザトークン識別情報を持つユーザトークンと、から成るユーザ認証システムにおいて、当該システムの管理者を登録する際に、前記管理者登録端末は管理者の生体情報を取得し、管理者識別情報を作成して前記認証装置へ送信し、前記認証装置は、前記管理者識別情報を受信して保存し、前記管理トークンは管理者の生体情報を取得し、次に管理者が当該システムのユーザを登録あるいは更新する際に、前記認証装置は前記管理トークンの識別情報を確認し、前記管理トークンは管理者の生体情報を取得して前記認証装置へ送信し、前記認証装置は前記生体情報を受信し、前記管理者識別情報と照合し、一致した場合、前記管理トークンはユーザの生体情報を取得して前記認証装置へ送信し、前記認証装置は前記生体情報を受信し、ユーザ識別情報を作成して保存し、次にユーザが当該システムを利用する際に、前記ユーザトークンはユーザの生体情報を取得して前記認証装置へ送信し、前記認証装置は前記生体情報を受信し、前記ユーザ識別情報と照合し、一致した場合に正規のユーザとして認証する、ことを特徴とするユーザ認証システムを提供する。
【００１５】
これによって、管理者およびユーザの不正な登録・更新を防止し、セキュリティの高いユーザ認証を実現する。また管理者によるユーザの登録・更新、およびユーザによる認証操作は、トークンのみを用いて行うため、コストが低く利便性の高い認証システムが実現可能となる。
【発明の効果】
【００１６】
本発明は、自動車などの保護対象へユーザがアクセスする際、アクセス権限を生体情報に基づいて認証するシステムにおいて、販売店などによる管理者の登録と、管理者によるユーザの登録・更新を行うことで、安全かつ運用管理コストの低いユーザ認証を実現する。管理者によるユーザの登録・更新、およびユーザによる認証操作は、携帯可能なトークンのみを用いて行うため、コストが低く利便性の高い認証システムが実現可能となる。管理者やユーザは、所持しているトークンと生体情報の組によって認証されるため、高いセキュリティが確保される。また生体情報のセンサを、認証装置ではなく、ユーザが携帯するトークンに設置することで、厳しい耐久性を要求される自動車などのユーザ認証などへも適用可能となる。
【発明を実施するための最良の形態】
【００１７】
以下、本発明の第一の実施形態について、自動車のユーザ認証システムを例にして説明する。
【００１８】
図１に本実施形態のユーザ認証システムシステムの構成を示す。本実施形態は、自動車の管理者（通常は所有者）を登録するために販売店などが運用する管理者登録端末100と、所有者の家族など、自動車のユーザを認証するために車両に搭載された認証装置110と、管理者がユーザを登録するために用いる管理トークン130と、ユーザが自動車を利用する際の認証に用いるユーザトークン140から構成される。管理者登録端末100と認証装置110、管理トークン130と認証装置110、ユーザトークン140と認証装置110は、それぞれ無線または有線で、直接通信またはインターネットなどの公衆回線網を経由した通信を行う。
管理者登録端末100は指紋センサ101と、電子署名機能102と、通信機能103と、記憶装置105から構成される。記憶装置105は、秘密鍵（Sm）104を記憶する。
【００１９】
認証装置110は暗号処理機能111と、指紋照合機能112と、通信機能113と、GPS機能114と、ディスプレイ120と、記憶装置115と、公開鍵（Pm）116と、初期登録フラグ119から構成される。記憶装置115は、管理者認証データ117と、ユーザ認証データ118を記憶する。管理者認証データ117は、管理者の公開鍵（Pa）と、管理者の生体情報のテンプレート、管理者認証データ117の完全性を保証するための電子署名から構成される。ユーザ認証データ118は、ユーザの公開鍵（Pu）と、ユーザの生体情報のテンプレート、ユーザ認証データの完全性を保証するための電子署名から構成される。公開鍵（Pm）116は秘密鍵（Sm）104と対をなし、自動車の販売時に認証装置110へあらかじめ格納されているものとする。初期登録フラグは自動車の工場出荷時に0にセットされているものとする。
【００２０】
管理トークン130は指紋センサ131と、暗号処理機能132と、通信機能133と、記憶装置135から構成される。記憶装置135は、秘密鍵（Sa）134を記憶する。秘密鍵（Sa）134は、管理者認証データ117の公開鍵（Pa）と対をなす。管理トークン130は自動車の販売時に、販売店などから管理者へ渡されるか、あるいは管理者が既に同等の機能を持つトークンを所有している場合、秘密鍵（Sa）のみを管理者のトークンへ格納する。管理トークン130は携帯電話やＰＤＡのような携帯端末であってもよい。管理トークン130は充電池などの電源を内蔵する。
【００２１】
ユーザトークン140は指紋センサ141と、暗号処理機能142と、通信機能143と、記憶装置146から構成される。記憶装置146は、秘密鍵（Su）144と、公開鍵（Pu）145を記憶する。秘密鍵（Su）144と公開鍵（Pu）145は対をなし、あらかじめ生成されてユーザトークン140に格納されている。ユーザトークンは自動車の販売時に、販売店などから管理者あるいはユーザに適当な個数（例えばユーザの人数分）だけ渡されるか、あるいはユーザが既に同等の機能を持つトークンを所有している場合、当該トークンを利用してもよい。ユーザトークン140は携帯電話やＰＤＡのような携帯端末であってもよい。ユーザトークン140は充電池などの電源を内蔵する。
【００２２】
次に、本実施形態でのユーザ認証システムの動作を詳細に説明する。
図２に、自動車販売時などにおける、自動車の管理者の登録処理手順およびデータの流れを示す。
管理者登録端末100は、公開鍵（Pa）と秘密鍵（Sa）134の対を生成し、秘密鍵（Sa）134を管理トークン130へ送信する（ステップ200）。あらかじめ管理トークン130内に公開鍵（Pa）と秘密鍵（Sa）格納されているならば、ステップ200のかわりに管理者登録端末100が管理トークン130から公開鍵（Pa）を受取ってもよい。
管理トークン130は、秘密鍵（Sa）134を耐タンパ領域などに安全に保存する（ステップ205）。
【００２３】
管理者登録端末100は、指紋センサ101を用いて管理者の指紋データを取得する（ステップ210）。
管理者登録端末100は、指紋データからテンプレートを作成する（ステップ215）。テンプレートは、指紋画像データでも、指紋画像から特徴量を抽出したデータでもよい。
管理者登録端末100は、秘密鍵（Sm）104を用いて、前記公開鍵（Pa）と前記テンプレートに対し電子署名を生成する（ステップ220）。これによって、公開鍵とテンプレートの対の完全性を、販売店が保証する。前記公開鍵（Pa）と前記テンプレートと前記電子署名をまとめて、管理者認証データ117とする。
管理者登録端末100は、管理者認証データ117を認証装置110へ送信する（ステップ225）。
認証装置110は、初期登録フラグ119が０かどうかを調べる（ステップ230）。
認証装置110は、初期登録フラグ119が0でなかった場合にエラーメッセージを表示し、処理を中断する（ステップ245）。
【００２４】
認証装置110は、管理者認証データ117を記憶装置115に登録する（ステップ235）。
認証装置110は、初期登録フラグを１にセットする（ステップ240）。
認証装置110は、管理者登録の成功メッセージを表示する（ステップ250）。
初期登録フラグ119を用いることで、管理者の登録は工場出荷後、最初の一回に限ることができる。これによって自動車の販売後に販売店などが不正に管理者を書き換えることを防止し、自動車の管理権を販売店から購入者へ正しく委譲することができる。
【００２５】
図３に、管理者が自動車のユーザを登録する際の処理手順およびデータの流れを示す。
管理トークン130は認証装置110へ登録要求を送信する（ステップ300）。
認証装置110は登録要求を受信し、GPS機能114により自動車の位置情報を取得して、許可された位置（例えば所有者の自宅）にあることを確認する（ステップ305）。許可された位置にない場合は、不正な登録要求とみなして処理を中断する。
認証装置110は管理トークン130を認証し、管理トークン130が正当なものでなければ認証処理を中断する（ステップ310）。認証は、管理者認証データ117の公開鍵（Pa）と、秘密鍵（Sa）134を用いて、認証装置110と管理トークン130がチャレンジアンドレスポンス処理を行うことで実現できる。
【００２６】
管理トークン130の正当性が確認されたなら認証装置110と管理トークン130の間で暗号セッションを開始する（ステップ310）。
認証装置110は、ステップ310で管理トークン130の正当性が確認できなかった場合にエラーメッセージを表示して処理を中断する（ステップ365）。
管理トークン130は、管理者の指紋データを取得して認証装置110へ送信する（ステップ320）。
認証装置110は、前記指紋データを受信し、管理者認証データ117のテンプレートと照合する（ステップ325）。
認証装置110は、ステップ325で指紋を照合した結果、一致しなかった場合にエラーメッセージを表示し、処理を中断する（ステップ365）。
【００２７】
管理トークン130は、管理者が登録しようとしているユーザの指紋データを取得し、認証装置110へ送信する（ステップ330）。
認証装置110は、前記指紋データを受信し、テンプレートを作成する（ステップ335）。指紋データは管理トークン130が取得したものなので、管理者が意図しない不正なユーザの指紋テンプレートの登録を防ぐことができる。
ユーザトークン140は、ユーザの指紋データを取得し、公開鍵（Pu）145とともに認証装置110へ送信する（ステップ340）。
認証装置110は、指紋データと公開鍵（Pu）145を受信し、指紋データをステップ335で作成したテンプレートと照合する。（ステップ350）。
【００２８】
認証装置110は、ステップ350で指紋を照合した結果一致しなかった場合に、エラーメッセージを表示して処理を中断する（ステップ365）。あるいは再度指紋入力を促すメッセージを表示して、ユーザトークンから指紋データが送信されるのを待ってもよい。認証装置110は、ステップ335で管理トークン130からのユーザの指紋データを受信してテンプレートを作成した後、ユーザトークン140からユーザの指紋データを受信するが、この間の時間を制限し、一定時間内にユーザトークン140から指紋データを受信できなかった場合に登録処理を中断することで、不正な登録をより確実に防ぐことができる。
【００２９】
認証装置110は、公開鍵（Pu）と、ステップ335で作成したテンプレートを対にして管理トークン130へ送信する。管理トークン130はこのデータに対して、秘密鍵（Sa）を用いて電子署名を生成し、認証装置110へ送信する。認証装置110は受信した電子署名と公開鍵（Pu）とテンプレートをまとめて、ユーザ認証データ118を作成する（ステップ355）。
認証装置110は、ユーザ認証データ118を記憶装置115に登録する。（ステップ360）。
以上の処理により、販売店などから許可された管理者が、同じく販売店などから発行された管理トークンを用いた場合にのみ、ユーザ登録を許可される。またユーザ登録を販売店などに依頼する必要がなく、ユーザ登録用の端末も必要としない。このように、本発明によりセキュリティが高く、かつ簡便なユーザ管理が実現できる。
【００３０】
上記と同様の処理によって、管理者を更新することもできる。この場合、管理トークン130あるいは認証装置110にスイッチを設けることで、ユーザ登録モードと管理者更新モードの切り替えが可能となる。管理者を更新することで、自動車の中古販売時などにおける管理権の委譲が可能となる。
【００３１】
図４に、自動車のドアを開錠する、あるいはエンジンをスタートさせるときなどにおけるユーザ認証処理手順およびデータの流れを示す。
ユーザトークン140は、認証要求を認証装置110へ送信する（ステップ400）。
認証装置110は、ユーザトークン140を認証する。認証が失敗したら、ユーザ認証処理を中断する（ステップ410）。トークンの認証は、ユーザ認証データ118の公開鍵（Pu）と、秘密鍵（Su）144を用いて、認証装置110とユーザトークン140がチャレンジアンドレスポンス処理を行うことで実現できる。
ユーザトークン140の正当性が確認されたら、ユーザトークン140と認証装置110の間で暗号セッションを開始する（ステップ412）。
ユーザトークン140は、ユーザの指紋データを取得し、認証装置110へ送信する（ステップ415）。
【００３２】
認証装置110は、指紋データを受信し、ユーザ認証データ118のテンプレートと照合する（ステップ420）。指紋が一致したら、ドアの開錠やエンジンスタートを許可する。
上記の処理において、ユーザトークンのかわりに管理トークン130を用いてもよい。この場合、管理トークン130あるいは認証装置110にスイッチを設けることで、登録モードと認証モードを切り替えが可能となる。
以上の処理により、登録されたユーザが登録されたユーザトークンを用いた場合にのみ、自動車を利用することができる。このように、本発明はセキュリティの高いユーザ認証を実現する。
【００３３】
自動車のドア開錠に指紋などの生体認証を利用する場合、センサを車両に設置する必要があるが、高温や低温、雨や振動などへの耐久性を実現することが困難である。本発明は、ユーザが携帯するトークンにセンサを設置するため、この問題を回避することができる。
上記の実施形態では、認証装置110が管理トークン120、ユーザトークン130を認証する際に公開鍵暗号に基くチャレンジアンドレスポンス処理を用いたが、各トークンが各々固有の識別情報を１つずつ保持し、認証時に認証装置110へ送信して、登録済みの識別情報と比較してトークンを認証してもよい。
以下、本発明の第二の実施形態について、タクシーや運送業など、一つの企業あるいは営業所に、複数のドライバー（ユーザ）と複数の車両が所属する場合の、車両ユーザ認証システムを例にして説明する。この場合、ユーザと車両の対応付けを、企業あるいは営業所で動的に管理する必要がある。
【００３４】
図５に本実施形態のドライバ認証システムの構成を示す。本実施形態は、ユーザと車両の対応付けを管理する管理端末500と、車両に搭載され、ユーザを認証する認証装置510と、ユーザが携帯し、認証を受けるために用いるユーザトークン520から構成される。管理端末500と認証装置510とユーザトークン520は、互いに無線もしくは有線で、直接通信またはインターネットなどの公衆回線網を経由した通信を行う。
管理端末500は、暗号処理機能501と、通信機能502と、データベース503と、秘密鍵（Sa）504から構成される。データベース503は、ユーザ認証データ506と、車両認証データ507を管理する。ユーザ認証データ506は、ユーザの公開鍵（Pu）と、ユーザの生体情報のテンプレートと、有効期限と、ユーザ認証データの完全性を保証する電子署名から構成される。車両認証データは、車両IDと、車両の公開鍵（Pd）と、車両認証データの完全性を保証する電子署名から構成される。管理端末500は、いずれかの車両を利用する可能性のある全てのユーザのユーザ認証データを管理する。
【００３５】
認証装置510は、暗号処理機能511と、指紋照合機能512と、通信機能513と、記憶装置514から構成される。記憶装置514は、認証装置510の秘密鍵（Sd）515と、管理端末500の公開鍵（Pa）516と、ユーザ認証データ506を記憶する。秘密鍵（Sa）504と公開鍵（Pa）516は対をなし、一つの管理端末に対して一対ずつ対応する。秘密鍵（Sd）515と公開鍵（Pd）505は対をなし、一つの認証装置510、すなわち一台の車両に対して一対ずつ対応する。
ユーザトークン520は、指紋センサ521と、暗号処理機能522と、通信機能523と、記憶装置527から構成される。記憶装置527は、秘密鍵（Su）524と、公開鍵（Pu）525と、暗号鍵526と、管理端末500の公開鍵（Pa）516と、車両認証データ507を記憶する。秘密鍵（Su）524と公開鍵（Pu）525は対をなす。ユーザトークン520は、各ユーザが一つずつ所有する。ユーザトークン520は、本実施形態のユーザ認証システムに特化した専用デバイスであってもよいし、携帯電話やＰＤＡのような汎用的な機能を持つ携帯端末であってもよい。
【００３６】
次に、本実施形態でのユーザ認証システムの動作を詳細に説明する。
図６に、企業や営業所に所属するユーザをシステムに登録する際の処理手順およびデータの流れを示す。
管理端末500は、登録対象ユーザが所有するユーザトークン520に対して、指紋要求を送信する（ステップ600）。
ユーザトークン520は、ユーザの指紋データを取得する（ステップ605）。
ユーザトークン520は、指紋データからテンプレートを作成する（ステップ610）。テンプレートは指紋画像データそのものでもよいし、特徴量を抽出したものでもよい。
ユーザトークン520は、暗号鍵526を用いてテンプレートを暗号化し、公開鍵（Pu）525とともに管理端末500へ送信する（ステップ615）。
【００３７】
管理端末500は、公開鍵（Pu）525とテンプレートの有効期限と暗号化されたテンプレートに対して、秘密鍵（Sa）を用いて電子署名を生成する（ステップ620）。これによって、公開鍵（Pu）525とテンプレートの対の完全性を、管理端末500が保証する。
管理端末500は、公開鍵（Pu）525と有効期限と暗号化テンプレートと電子署名をまとめて、ユーザ認証データ506としてデータベース503に追加する（ステップ625）。
以上のように、管理端末500は全ユーザの指紋情報を管理するが、ユーザが個人で管理するユーザトークン520内で指紋のテンプレートを暗号化してから管理端末500へ渡すため、ユーザのプライバシが保護される。また管理端末500が管理するユーザ認証データ506がハッキングや内部犯罪等によって流出した場合にも、指紋のテンプレートのセキュリティは確保される。このため管理コストを削減することも可能となる。
【００３８】
図７に、個々のユーザと個々の車両（認証装置）を対応付け、各ユーザがそれぞれ許可された車両のみを利用できるようにする際の、処理手順およびデータの流れを示す。
管理端末500と認証装置510は、相互認証により互いの正当性を確認する。相互認証が失敗したら、処理を中断する（ステップ700）。相互認証は、公開鍵（Pa）516と秘密鍵（Sa）504の対、および公開鍵（Pd）505と秘密鍵（Sd）515の対を用い、チャレンジアンドレスポンス処理を行うことで実現できる。
相互認証が成功したら、管理端末500と認証装置510の間で暗号セッションを開始する（ステップ705）。
管理端末500は、認証装置510に対し、認証装置510が搭載された車両の利用許可を与えるべきユーザのユーザ認証データ506を送信する（ステップ710）。
認証装置510は、ユーザ認証データ506を受信し、記憶装置514に保存する（ステップ715）。
管理端末500は、ユーザトークン520に対し、認証装置510の車両認証データ507を送信する（ステップ720）。
ユーザトークン520は、車両認証データ507を受信し、記憶装置527に保存する（ステップ725）。
【００３９】
図８に、自動車のドアを開錠する、あるいはエンジンをスタートさせるときなどにおけるユーザ認証処理手順およびデータの流れを示す。
ユーザトークン520は、認証装置510に対し、認証要求を送信する（ステップ800）。
認証装置510とユーザトークン520は、相互認証により互いの正当性を確認する。相互認証が失敗したら、処理を中断する（ステップ805）。相互認証は、ユーザ認証データ506の公開鍵（Pu）と秘密鍵（Su）524の対、および車両認証データ507の公開鍵（Pd）と秘密鍵（Sd）515の対を用い、チャレンジアンドレスポンス処理を行うことで実現できる。
相互認証が成功したら、認証装置510とユーザトークン520はの間で暗号セッションを開始する（ステップ810）。
認証装置510は、ユーザ認証データ506が改竄されていないことを公開鍵（Pa）516を用いて検証し、またテンプレートの有効期限を確認し、検証が失敗したか、または有効期限が切れている場合に、処理を中断する（ステップ812）。
ユーザトークン520は、認証装置510に対し、暗号鍵526を送信する（ステップ815）。
認証装置510は、暗号鍵526を受信し、これを用いてユーザ認証データ506のテンプレートを復号化する（ステップ820）。
ユーザトークン520は、ユーザの指紋データを取得し、認証装置510へ送信する（ステップ825）。
【００４０】
認証装置510は、指紋データを受信し、ステップ820で復号化したテンプレートと照合する（ステップ830）。指紋が一致したら、ドアの開錠やエンジンスタートを許可する。
認証装置510は、指紋の一致／不一致に関わらず、復号化したテンプレートと、受信した暗号鍵526を削除する（ステップ835）。
以上のように本発明により、車両など複数の保護対象を、複数のユーザが利用し、利用権限を生体情報を用いて認証するシステムにおいて、車両とユーザの対応付けを容易に変更可能とすることで運用コストを削減し、かつユーザの生体情報を暗号化して管理することでプライバシを保護し、セキュリティを高めることができる。
【００４１】
本発明の実施例によれば、複数のユーザが複数の保護対象へアクセスし、そのアクセス権限を生体情報によって認証するシステムにおいて、低コストで、ユーザのプライバシを保護したユーザ管理を実現する。具体的にはユーザ登録時に、ユーザが所持するトークンを用いて生体情報を取得し、トークン内で暗号化して、これをテンプレートとして管理端末へ渡し、管理端末は各ユーザのテンプレートを、各保護対象へ割当てる。管理端末はユーザのテンプレートを一元的に管理できるため、ユーザのアクセス権限の設定や変更を容易に行うことができる。またテンプレートは暗号化され、暗号鍵はユーザが管理するトークン内に保管することで、ユーザのプライバシを保護し、かつ管理端末におけるテンプレートの管理コストを低減することができる。
【図面の簡単な説明】
【００４２】
【図１】本発明のユーザ認証システムの第一の実施形態を示すブロック図である。
【図２】同実施形態における管理者登録処理を示す流れ図である。
【図３】同実施形態におけるユーザ登録処理を示す流れ図である。
【図４】同実施形態におけるユーザ認証処理を示す流れ図である。
【図５】本発明の本人認証システムの第二の実施形態を示すブロック図である。
【図６】同実施形態におけるユーザ登録処理を示す流れ図である。
【図７】同実施形態におけるユーザと車両の対応付けの処理を示す流れ図である。
【図８】同実施形態におけるユーザ認証処理を示す流れ図である。
【符号の説明】
【００４３】
100  管理者認証端末
101  指紋センサ
102  署名機能
103  通信機能
104  秘密鍵（Sm）
105  記憶装置
110  認証装置
111  暗号処理機能
112  指紋照合機能
113  通信機能
114  GPS機能
115  記憶装置
116  公開鍵（Pm）
117  管理者認証データ
118  ユーザ認証データ
119  初期登録フラグ
130  管理トークン
131  指紋センサ
132  暗号処理機能
133  通信機能
134  秘密鍵（Sa）
135  記憶装置
140  ユーザトークン
141  指紋センサ
142  暗号処理機能
143  通信機能
144  秘密鍵（Su）
145  公開鍵（Pu）
146  記憶装置
500  管理端末
501  暗号処理機能
502  通信機能
503  データベース
504  秘密鍵（Sa）
506  ユーザ認証データ
507  車両認証データ
510  認証装置
511  暗号処理機能
512  指紋照合機能
513  通信機能
514  記憶装置
515  秘密鍵（Sd）
516  公開鍵（Pa）
520  ユーザトークン
521  指紋センサ
522  暗号処理機能
523  通信機能
524  秘密鍵（Su）
525  公開鍵（Pu）
526  暗号鍵
527  記憶装置
【図１】
2005115583.tif 000003
【図２】
2005115583.tif 000004
【図３】
2005115583.tif 000005
【図４】
2005115583.tif 000006
【図５】
2005115583.tif 000007
【図６】
2005115583.tif 000008
【図７】
2005115583.tif 000009
【図８】
2005115583.tif 000010