(57)【要約】【課題】  安全かつ汎用性のある生体認証システム、プログラムおよび情報記憶媒体を提供すること。【解決手段】  通信機能を有する端末装置からユーザー識別情報および生体認証情報を受信するとともに、アクセスキーを端末装置へ向け送信する通信部１１０と、生体認証用データ１３２を記憶する記憶部１３０と、ユーザー識別情報に基づき、ユーザーを識別し、生体認証情報と、生体認証用データ１３２とに基づき、当該ユーザーの生体認証を行う判定部１２０と、生体認証が成功した場合に、ネットワークに接続されたユーザー認証装置で認証されるためのアクセスキーを生成するアクセスキー生成部とを含んで生体認証システムを構成する。【選択図】      図２
2005092614.tif 000002
【特許請求の範囲】
【請求項１】
通信機能を有する端末装置からユーザー識別情報および生体認証情報を受信する通信手段と、
生体認証用データを記憶する記憶手段と、
前記ユーザー識別情報に基づき、ユーザーを識別し、前記生体認証情報と、前記生体認証用データとに基づき、当該ユーザーの生体認証を行う判定手段と、
生体認証が成功した場合に、ネットワークに接続されたユーザー認証装置で認証されるためのアクセスキーを生成するアクセスキー生成手段と、
を含み、
前記通信手段は、前記端末装置のユーザーを、前記ネットワークを介して前記ユーザー認証装置で認証させるために、前記アクセスキーを前記端末装置および前記ユーザー認証装置へ向け送信することを特徴とする生体認証システム。
【請求項２】
請求項１において、
前記アクセスキー生成手段は、毎回異なるアクセスキーを生成することを特徴とする生体認証システム。
【請求項３】
端末装置からユーザー識別情報および生体認証情報を受信する通信手段と、
生体認証用データを記憶する記憶手段と、
前記ユーザー識別情報に基づき、ユーザーを識別し、前記生体認証情報と、前記生体認証用データとに基づき、当該ユーザーの生体認証を行う判定手段と、
を含み、
前記判定手段は、生体認証が成功した場合に、ネットワークに接続されたユーザー認証装置で認証されるためのアクセスキーを取得するための取得要求情報を生成し、
前記通信手段は、前記端末装置のユーザーを、前記ネットワークを介して前記ユーザー認証装置で認証させるために、前記取得要求情報を前記ユーザー認証装置へ向け送信するとともに、前記ユーザー認証装置から前記アクセスキーを受信した場合に、当該アクセスキーを前記端末装置へ向け送信することを特徴とする生体認証システム。
【請求項４】
請求項１〜３のいずれかにおいて、
前記端末装置は、指紋認証機能を有し、
前記判定手段は、前記生体認証として指紋認証を行うことを特徴とする生体認証システム。
【請求項５】
コンピュータにより読み取り可能なプログラムであって、
コンピュータを、
通信機能を有する端末装置からユーザー識別情報および生体認証情報を受信する通信手段と、
生体認証用データを記憶する記憶手段と、
前記ユーザー識別情報に基づき、ユーザーを識別し、前記生体認証情報と、前記生体認証用データとに基づき、当該ユーザーの生体認証を行う判定手段と、
生体認証が成功した場合に、ネットワークに接続されたユーザー認証装置で認証されるためのアクセスキーを生成するアクセスキー生成手段として機能させ、
前記通信手段は、前記端末装置のユーザーを、前記ネットワークを介して前記ユーザー認証装置で認証させるために、前記アクセスキーを前記端末装置および前記ユーザー認証装置へ向け送信することを特徴とするプログラム。
【請求項６】
コンピュータにより読み取り可能プログラムであって、
コンピュータを、
端末装置からユーザー識別情報および生体認証情報を受信する通信手段と、
生体認証用データを記憶する記憶手段と、
前記ユーザー識別情報に基づき、ユーザーを識別し、前記生体認証情報と、前記生体認証用データとに基づき、当該ユーザーの生体認証を行う判定手段として機能させ、
前記判定手段は、生体認証が成功した場合に、ネットワークに接続されたユーザー認証装置で認証されるためのアクセスキーを取得するための取得要求情報を生成し、
前記通信手段は、前記端末装置のユーザーを、前記ネットワークを介して前記ユーザー認証装置で認証させるために、前記取得要求情報を前記ユーザー認証装置へ向け送信するとともに、前記ユーザー認証装置から前記アクセスキーを受信した場合に、当該アクセスキーを前記端末装置へ向け送信することを特徴とするプログラム。
【請求項７】
コンピュータにより読み取り可能な情報記憶媒体であって、
請求項５、６のいずれかに記載のプログラムを記憶したことを特徴とする情報記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークを介した生体認証システム、プログラムおよび情報記憶媒体に関する。
【背景技術】
【０００２】
一般的に、ＶＰＮ（Virtual Private Network）等のネットワークを介して所定のデータにリモートアクセスを行う場合、セキュリティ面から通信相手のユーザー認証を行ってデータアクセスを行っている。このような通信相手のユーザー認証方法としては、ユーザーＩＤとパスワードを用いる方法が一般的である。
【０００３】
しかし、ユーザーＩＤやパスワード等のテキストデータの場合、ユーザーが付箋紙等に書き込んでＰＣ（Personal Computer）に貼り付けて使用してしまう場合もあり、十分なセキュリティを確保することができない。
【０００４】
そこで、よりセキュリティレベルを高めるために、指紋認証等の生体認証を用いる必要がある。
【０００５】
このような課題を解決するため、例えば、特許文献１では、加入者端末と、データリンク層終端手段と、認証サーバとを有する認証システムが提案されている。
【特許文献１】特開２００２−２０７７０１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかし、特許文献１の手法の場合、生体認証情報をデータリンク層のプロトコルに入れてデータ通信を行っているため、ＮＡＴ（Network Address Translation）機能を有するルータやファイアウォールを介して生体認証情報を送信することができず、汎用性に欠ける。
【０００７】
特に、一般的な認証システムに生体認証システムを付加して使用する場合、セキュリティだけでなく、汎用性を確保することも重要となる。
【０００８】
本発明は、上記課題に鑑みなされたものであり、その目的は、安全かつ汎用性のある生体認証システム、プログラムおよび情報記憶媒体を提供することにある。
【課題を解決するための手段】
【０００９】
上記課題を解決するため、本発明に係る生体認証システムは、通信機能を有する端末装置からユーザー識別情報および生体認証情報を受信する通信手段と、
生体認証用データを記憶する記憶手段と、
前記ユーザー識別情報に基づき、ユーザーを識別し、前記生体認証情報と、前記生体認証用データとに基づき、当該ユーザーの生体認証を行う判定手段と、
生体認証が成功した場合に、ネットワークに接続されたユーザー認証装置で認証されるためのアクセスキーを生成するアクセスキー生成手段と、
を含み、
前記通信手段は、前記端末装置のユーザーを、前記ネットワークを介して前記ユーザー認証装置で認証させるために、前記アクセスキーを前記端末装置および前記ユーザー認証装置へ向け送信することを特徴とする。
【００１０】
また、本発明に係るプログラムは、コンピュータにより読み取り可能なプログラムであって、
コンピュータを、
通信機能を有する端末装置からユーザー識別情報および生体認証情報を受信する通信手段と、
生体認証用データを記憶する記憶手段と、
前記ユーザー識別情報に基づき、ユーザーを識別し、前記生体認証情報と、前記生体認証用データとに基づき、当該ユーザーの生体認証を行う判定手段と、
生体認証が成功した場合に、ネットワークに接続されたユーザー認証装置で認証されるためのアクセスキーを生成するアクセスキー生成手段として機能させ、
前記通信手段は、前記端末装置のユーザーを、前記ネットワークを介して前記ユーザー認証装置で認証させるために、前記アクセスキーを前記端末装置および前記ユーザー認証装置へ向け送信することを特徴とする。
【００１１】
また、本発明に係る情報記憶媒体は、コンピュータにより読み取り可能な情報記憶媒体であって、上記プログラムを記憶したことを特徴とする。
【００１２】
本発明によれば、生体認証が成功した場合にアクセスキーを端末装置に提供することができるため、生体認証を行わない場合と比べ、より安全にアクセスキーを端末装置に提供することができる。
【００１３】
また、本発明によれば、データアクセスのためのユーザー認証装置と端末装置にアクセスキーを提供することにより、当該ユーザー認証装置で当該アクセスキーを用いて通常の認証を行うことができる。
【００１４】
これにより、ユーザー認証装置では特別な処理は必要ないため、安全かつ汎用性のある生体認証システムを実現できる。
【００１５】
また、前記生体認証システム、前記プログラムおよび前記情報記憶媒体において、前記アクセスキー生成手段は、毎回異なるアクセスキーを生成してもよい。
【００１６】
これによれば、生体認証システム等は、毎回異なるアクセスキーを生成することにより、より安全性（セキュリティ）を高めることができる。
【００１７】
また、本発明に係る生体認証システムは、端末装置からユーザー識別情報および生体認証情報を受信する通信手段と、
生体認証用データを記憶する記憶手段と、
前記ユーザー識別情報に基づき、ユーザーを識別し、前記生体認証情報と、前記生体認証用データとに基づき、当該ユーザーの生体認証を行う判定手段と、
を含み、
前記判定手段は、生体認証が成功した場合に、ネットワークに接続されたユーザー認証装置で認証されるためのアクセスキーを取得するための取得要求情報を生成し、
前記通信手段は、前記端末装置のユーザーを、前記ネットワークを介して前記ユーザー認証装置で認証させるために、前記取得要求情報を前記ユーザー認証装置へ向け送信するとともに、前記ユーザー認証装置から前記アクセスキーを受信した場合に、当該アクセスキーを前記端末装置へ向け送信することを特徴とする。
【００１８】
また、本発明に係るプログラムは、コンピュータにより読み取り可能プログラムであって、
コンピュータを、
端末装置からユーザー識別情報および生体認証情報を受信する通信手段と、
生体認証用データを記憶する記憶手段と、
前記ユーザー識別情報に基づき、ユーザーを識別し、前記生体認証情報と、前記生体認証用データとに基づき、当該ユーザーの生体認証を行う判定手段として機能させ、
前記判定手段は、生体認証が成功した場合に、ネットワークに接続されたユーザー認証装置で認証されるためのアクセスキーを取得するための取得要求情報を生成し、
前記通信手段は、前記端末装置のユーザーを、前記ネットワークを介して前記ユーザー認証装置で認証させるために、前記取得要求情報を前記ユーザー認証装置へ向け送信するとともに、前記ユーザー認証装置から前記アクセスキーを受信した場合に、当該アクセスキーを前記端末装置へ向け送信することを特徴とする。
【００１９】
また、本発明に係る情報記憶媒体は、コンピュータにより読み取り可能な情報記憶媒体であって、上記プログラムを記憶したことを特徴とする。
【００２０】
本発明によれば、生体認証が成功した場合にアクセスキーを端末装置に提供することができるため、生体認証を行わない場合と比べ、より安全にアクセスキーを端末装置に提供することができる。
【００２１】
また、本発明によれば、データアクセスのためのユーザー認証装置からアクセスキーを取得することにより、より汎用性のある生体認証システムを実現することができる。
【００２２】
また、前記生体認証システム、前記プログラムおよび前記情報記憶媒体において、前記端末装置は、指紋認証機能を有し、
前記判定手段は、前記生体認証として指紋認証を行ってもよい。
【００２３】
これによれば、生体認証システム等は、指紋認証を行ってアクセスキーを端末装置に提供することができる。
【発明を実施するための最良の形態】
【００２４】
（システム全体の説明）
図１は、システム全体の概略図である。
【００２５】
本システムは、いわゆるリモートアクセスで社外の携帯端末３００やＰＣ４００が、インターネット５００を介して社内ネットワーク６００の所望のデータにアクセスするためのシステムである。
【００２６】
なお、携帯端末３００およびＰＣ４００は、通信機能を有する端末装置の一種である。また、携帯端末３００としては、具体的には、例えば、携帯電話、ＰＤＡ（Personal Digital Assistants）等が該当する。
【００２７】
社内ネットワーク６００には、ユーザー認証装置の一種であるＶＰＮ認証装置６１０が設けられ、ＳＳＬ（Secure Sockets Layer）−ＶＰＮ機能によってセキュリティと汎用性がある程度確保されている。なお、ＳＳＬ−ＶＰＮの場合、ＰＣ４００側にＶＰＮ装置は必要なく、ＳＳＬに対応したブラウザーソフトをＰＣ４００が有していればよい。
【００２８】
さらに、本システムでは、汎用性を保ったまま、よりセキュリティを高めるため、ＳＳＬ−ＶＰＮ用の一般的なシステムに生体認証システムを付加している。この生体認証システムとして機能する生体認証装置１００とアクセスキー生成装置２００がインターネット５００に接続されている。
【００２９】
（機能ブロックの説明）
次に、生体認証装置１００とアクセスキー生成装置２００の機能ブロックについて説明する。
【００３０】
図２は、生体認証装置１００の機能ブロック図である。
【００３１】
生体認証装置１００は、インターネット５００を介した通信やアクセスキー生成装置２００と通信を行う通信手段として機能する通信部１１０と、生体認証を行う判定部１２０と、生体認証用データ１３２、ウェブ用データ１３４等を記憶する記憶部１３０とを含んで構成されている。
【００３２】
なお、ここで、生体認証用データ１３２は、ユーザーＩＤと、当該ユーザーＩＤで識別されるユーザーの指紋データ（指紋そのものの画像データであってもよいし、指紋の特徴を示すデータでもよい。）を複数のユーザー分有している。また、ウェブ用データ１３４は、携帯端末３００やＰＣ４００にインストールされたブラウザーソフトで画像を表示するための画像データである。
【００３３】
次に、アクセスキー生成装置２００の機能ブロックについて説明する。
【００３４】
図３は、アクセスキー生成装置２００の機能ブロック図である。
【００３５】
アクセスキー生成装置２００は、インターネット５００を介した通信や生体認証装置１００と通信を行う通信手段として機能する通信部２１０と、生体認証が成功した場合に、アクセスキーを生成するアクセスキー生成部２２０とを含んで構成されている。
【００３６】
なお、上述した判定部１２０等を実現するためのハードウェアとしては、以下のものを採用してもよい。
【００３７】
例えば、通信部１１０、２１０としてはＬＡＮボードやルータ等、判定部１２０、アクセスキー生成装置２２０としてはＣＰＵ等、記憶部１３０としてはＲＡＭ、ＨＤＤ等を用いて実現できる。なお、判定部１２０等の各部は、回路等のようにハードウェア的に実現してもよいし、プログラム等のようにソフトウェア的に実現してもよい。
【００３８】
（処理手順の説明）
次に、生体認証装置１００とアクセスキー生成装置２００を用いたデータアクセスまでの処理手順について説明する。
【００３９】
図４は、データアクセスまでの処理手順を示すフローチャートである。
【００４０】
本実施例では、生体認証として指紋認証を採用している。このため、携帯端末３００は、画像表示機能、通信機能に加えて指紋入力機能を有している。
【００４１】
まず、携帯端末３００のユーザーは、携帯端末３００を用いてインターネット５００を介して生体認証装置１００にアクセスし、画像情報を要求する。
【００４２】
判定部１２０は、通信部１１０が携帯端末３００から画像情報の配信要求情報を受信したと判定した場合、ウェブ用データ１３４に基づき、画像情報を生成する。そして、通信部１１０は、当該画像情報を携帯端末３００へ向け送信する。
【００４３】
携帯端末３００は、当該画像情報に基づき、画面にユーザーＩＤと指紋情報の入力を促す画像を表示する。ユーザーは、携帯端末３００のキーを用いてユーザーＩＤを入力し、携帯端末３００の指紋入力部に指を当てて指紋データを入力する（ステップＳ１）。なお、ユーザーＩＤは、ユーザー識別情報の一種であり、指紋データは、生体認証情報の一種である。
【００４４】
そして、携帯端末３００は、ユーザーからの指示に応じてユーザーＩＤと指紋データを含む生体認証用情報を生体認証装置１００へ向け送信する（ステップＳ２）。
【００４５】
通信部１１０は、当該生体認証用情報を受信する。そして、判定部１２０は、当該生体認証用情報に含まれるユーザーＩＤに基づき、ユーザーを特定し、当該ユーザーの指紋データを生体認証用データ１３２から抽出する。さらに、判定部１２０は、当該生体認証用情報に含まれる指紋データと、生体認証用データ１３２から抽出した指紋データを比較して適合性を判定して生体認証が成功かどうかを判定する（ステップＳ３）。
【００４６】
生体認証が成功した場合、判定部１２０は、アクセスキー生成要求情報を生成し、通信部１１０は、当該アクセスキー生成要求情報をアクセスキー生成装置２００へ向け送信する。なお、生体認証が失敗した場合、判定部１２０は、生体認証が失敗したことを示すエラーメッセージを生成し、通信部１１０は、当該エラーメッセージを携帯端末３００へ向け送信する。
【００４７】
通信部２１０は、当該アクセスキー生成要求情報を受信し、アクセスキー生成部２２０は、当該アクセスキー生成要求情報に基づき、ＶＰＮ認証用のアクセスキーを生成する（ステップＳ４）。
【００４８】
なお、アクセスキー生成部２２０は、毎回異なるアクセスキーを生成する。また、アクセスキーとしては、パスワード等のテキストデータやバーコード等の符号データ等を採用できる。本実施例では、アクセスキーとして、パスワードを用いる。
【００４９】
通信部２１０は、アクセスキーを、インターネット５００を介して携帯端末３００とＶＰＮ認証装置６１０のそれぞれへ向け送信する（ステップＳ５）。
【００５０】
ユーザーは、ユーザーＩＤと、携帯端末３００に表示されたアクセスキーを、ＰＣ４００を用いて入力し（ステップＳ６）、ＰＣ４００からユーザーＩＤとアクセスキーを含むＶＰＮ認証用情報をＶＰＮ認証装置６１０へ向け送信する（ステップＳ７）。
【００５１】
なお、ステップＳ６における入力は手動であってもよいし、赤外線等の無線通信機能を用いて自動的に入力してもよい。
【００５２】
ＶＰＮ認証装置６１０は、当該ＶＰＮ認証用情報に基づき、ＶＰＮ認証を行い、ＶＰＮ認証が成功かどうかを判定する（ステップＳ８）。
【００５３】
ＶＰＮ認証が成功した場合、ＶＰＮ認証装置６１０は、データアクセスを許可し、ＰＣ４００は、社内ネットワーク６００内のデータにアクセスしてデータの参照や編集を行う（ステップＳ９）。なお、ＶＰＮ認証が失敗した場合、ＶＰＮ認証装置６１０は、ＶＰＮ認証が失敗したことを示すエラーメッセージをＰＣ４００へ向け送信する。
【００５４】
以上のように、本実施形態によれば、生体認証が成功した場合にアクセスキーを携帯端末３００に提供することができるため、生体認証を行わない場合と比べ、より安全にアクセスキーを携帯端末３００に提供することができる。
【００５５】
また、本実施形態によれば、データアクセスのためのＶＰＮ認証装置６１０と携帯端末３００にアクセスキーを提供することにより、ＶＰＮ認証装置６１０で当該アクセスキーを用いて通常の認証を行うことができる。
【００５６】
これにより、ＶＰＮ認証装置６１０では特別な処理は必要ないため、安全かつ汎用性のある生体認証システムを実現できる。すなわち、例えば、ＶＰＮ認証装置６１０がＲＡＤＩＵＳ（Remote Authentication Dial In User Service）サーバからアクセスキーを受け取っている場合、ＶＰＮ認証装置６１０はＲＡＤＩＵＳサーバに代えてアクセスキー生成装置２００からアクセスキーを受け取ることになる。
【００５７】
したがって、ＶＰＮ認証装置６１０の機能を変更することなく、従来通りの手法でＶＰＮ認証を行うことができる。また、一般的なユーザー認証システムに付加する生体認証システム自体の構成も簡略化されたものであるため、低コストでセキュリティを高めるシステムを構築することができる。
【００５８】
また、アクセスキー生成部２２０は、毎回異なるアクセスキーを生成することにより、よりセキュリティを高めることができる。
【００５９】
（変形例）
以上、本発明を適用した好適な実施例について説明してきたが、本発明の適用は、上述した実施例に限定されず、種々の変形が可能である。
【００６０】
例えば、生体認証としては、指紋認証に限定されず、例えば、顔相認証、掌紋認証、虹彩認証等の種々の生体認証手法を採用可能である。
【００６１】
また、生体認証方式としては、特徴点を抽出して比較する方式等の種々の方式を採用可能である。
【００６２】
また、上述した実施例では、アクセスキー生成装置２００がアクセスキーを生成したが、ＶＰＮ認証装置６１０がアクセスキー生成機能を有している場合、判定部１２０を、生体認証が成功した場合に、社内ネットワーク６００に存在するＶＰＮ認証装置６１０で認証されるためのアクセスキーを取得するための取得要求情報を生成し、通信部１１０を、携帯端末３００を、ＶＰＮ認証装置６１０を介してＶＰＮ認証装置６１０で認証させるために、取得要求情報をＶＰＮ認証装置６１０へ向け送信するとともに、ＶＰＮ認証装置６１０からアクセスキーを受信した場合に、当該アクセスキーを携帯端末３００へ向け送信するように構成してもよい。
【００６３】
これによれば、データアクセスのためのＶＰＮ認証装置６１０からアクセスキーを取得することにより、より汎用性のある生体認証システムを実現することができる。
【００６４】
また、複数種の生体認証方式をサポートする場合、生体認証装置１００または判定部１２０を複数設け、生体認証方式に応じて処理を担当する生体認証装置１００や判定部１２０に生体認証処理を行わせてもよい。また、この場合、生体認証用情報として、ユーザーＩＤ、指紋データに、認証方式識別情報を加え、判定部１２０が当該認証方式識別情報に基づいて生体認証処理を行うべきかどうかを判定してもよい。
【００６５】
また、アクセスキー生成部２２０は、上述した実施例では毎回異なるアクセスキーを生成したが、必ずしも毎回異なるアクセスキーを生成する必要はない。例えば、アクセスキー生成部２２０は、ユーザーごとに異なるアクセスキーを生成したり、所定回数または所定時間ごとに異なるアクセスキーを生成したりしてもよい。
【００６６】
また、ユーザー認証装置は、ＶＰＮ認証装置６１０に限定されず、種々の認証装置を採用可能である。また、認証方式もＳＳＬ−ＶＰＮに限定されず、ＩＰｓｅｃ（IP Security Protocol）やＰＰＴＰ（Point-to-Point Tunneling Protocol）を用いたＶＰＮ等の種々の認証方式を採用可能である。
【００６７】
また、上述した実施例では、ユーザー認証の際に、ユーザーＩＤとアクセスキーを用いたが、不特定のユーザーがアクセスする場合、アクセスキーのみを用いてもよい。
【００６８】
また、上述した実施例では、端末装置として、携帯端末３００と、ＰＣ４００を用いたが、これら以外の端末装置を用いてもよい。また、携帯端末３００とＰＣ４００を連携させずに、１台の端末装置が単独で生体認証データの入力、アクセスキーの受信といった一連の処理を行ってもよい。
【００６９】
また、上述した実施例では、生体認証機能とアクセスキー生成機能を生体認証装置１００とアクセスキー生成装置２００を用いて実現したが、１台の装置で実現してもよいし、３台以上の装置で実現してもよい。例えば、アクセスキー生成部２２０の機能を生体認証装置１００に含めてもよい。
【００７０】
さらに、例えば、コンピュータが情報記憶媒体７００からプログラムを読み取って上述した生体認証機能とアクセスキー生成機能を実現してもよい。
【図面の簡単な説明】
【００７１】
【図１】システム全体の概略図である。
【図２】生体認証装置の機能ブロック図である。
【図３】アクセスキー生成装置の機能ブロック図である。
【図４】データアクセスまでの処理手順を示すフローチャートである。
【符号の説明】
【００７２】
１００  生体認証装置
１１０、２１０  通信部（通信手段）
１２０  判定部
１３０  記憶部
１３２  生体認証用データ
１３４  ウェブ用データ
２００  アクセスキー生成装置
２２０  アクセスキー生成部
３００  携帯端末（端末装置）
４００  ＰＣ（端末装置）
５００  インターネット（ネットワーク）
６１０  ＶＰＮ認証装置（ユーザー認証装置）
７００  情報記憶媒体
【図１】
2005092614.tif 000003
【図２】
2005092614.tif 000004
【図３】
2005092614.tif 000005
【図４】
2005092614.tif 000006