(57)【特許請求の範囲】
【請求項１】
（ａ）生体情報をクライアント端末装置に入力するステップと、
（ｂ）前記生体情報の第１の特徴データＸ1を抽出するステップと、
（ｃ）前記第１の特徴データＸ1を、ランダムに生成されたデータ変換量により変換するステップと、
（ｄ）前記データ変換された前記第１の特徴データを一方向性ハッシュ関数に通し、これにより得られたデータ変換情報を認証サーバに送信するステップと、
（ｅ）前記認証サーバにおいて前記データ変換情報を前記生体情報のテンプレートとして登録するステップと、
の各ステップを有し、
前記ステップ（ｃ）において、前記ランダムに生成されたデータ変換量を、Fingerprint Vaultを用いてHelper Dataとして登録することを特徴とする生体情報の登録方法。
【請求項２】
前記ステップ（ｃ）において、前記Helper Dataは三次元データであることを特徴とする請求項１に記載の生体情報の登録方法。
【請求項３】
（ｆ）前記三次元データのＺ座標のみを変更することにより前記Helper Dataの更新を行うステップ、をさらに有することを特徴とする請求項２に記載の生体情報の登録方法。
【請求項４】
（ａ）生体情報をクライアント端末装置に入力するステップと、
（ｂ）前記生体情報の第１の特徴データＸ1を抽出するステップと、
（ｃ）前記第１の特徴データＸ1をランダムに生成されたデータ変換量により変換すると共に、前記ランダムに生成されたデータ変換量を、Fingerprint Vaultを用いてHelper Dataとして登録するステップと、
（ｄ）前記データ変換された第１の特徴データを一方向性ハッシュ関数に通し、これにより得られたデータ変換情報を認証サーバに送信するステップと、
（ｅ）前記認証サーバにおいて前記データ変換情報を前記生体情報のテンプレートとして登録するステップと、
（ｆ）前記生体情報を前記クライアント端末装置に入力して、第２の特徴データＸ2を得るステップと、
（ｇ）前記第２の特徴データＸ2とHelper Dataから、Fingerprint Vaultを用いて前記データ変換量と前記第１の特徴データＸ1を復元するステップと、
（ｈ）前記復元された第１の特徴データＸ1を前記復元されたデータ変換量により変換するステップと、
（ｉ）前記データ変換された特徴データを一方向性ハッシュ関数に通し、これにより得られたデータ変換情報を認証サーバに送信するステップと、
（ｊ）前記認証サーバにおいて、前記ステップ（ｅ）において登録されていたテンプレートと、前記ステップ（ｉ）によって得られたデータ変換情報とを照合するステップと、
の各ステップを含む生体認証方法。
【請求項５】
前記ステップ（ｃ）において、前記Helper Dataは三次元データであることを特徴とする請求項４に記載の生体認証方法。
【請求項６】
（ｅ´）前記三次元データのＺ座標のみを変更することにより前記Helper Dataの更新を行うステップ、をさらに有することを特徴とする請求項５に記載の生体認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、指紋、虹彩、静脈を含む種々の生体認証（以下、適宜「バイオメトリック認証」という）のための登録情報（以下、適宜「テンプレート」という）を安全に保護するため生体情報の登録方法及び認証方法に関し、特に、テンプレートの変更を可能としつつ、テンプレート自体の安全性をより向上させた生体情報の登録方法及び生体認証方法に関する。
【背景技術】
【０００２】
昨今、個人認証において、指紋などの生体的な特徴を用いたバイオメトリック認証が注目を集めている。バイオメトリック認証では、従来のパスワードや磁気カードを用いた認証と異なり、忘却や紛失の危険性がなく、また、個人に固有な特徴を利用するため、他人によるなりすましが困難となる。
【０００３】
しかしながら、近年、データベースに保存する生体情報に関するテンプレートを利用した所謂「なりすまし攻撃」が行われるようになってきており、テンプレート自体を保護する重要性が認識されるに到ってきている。
【０００４】
生体個体の指紋、掌又は指先の静脈配置、虹彩の模様等の生体情報は基本的に生涯不変であり、一度漏洩すると生涯「なりすまし」の対象となる危険性がある。このため、テンプレートが漏洩しても「なりすまし」を行えず、且つテンプレートの変更が可能なデータ保管方式が必要である。
【０００５】
このように、バイオメトリック認証におけるテンプレート保護の重要性が認識されるようになったことに伴い、テンプレートを秘匿する方式やテンプレートの変更を可能とする方式が幾つか提案されている。しかし、これらの既存方式は、テンプレートの変更機能がないか、テンプレートからの個人情報の漏洩対策が十分でなく、十分な安全性が保障されているとは言い難いものであった。
【０００６】
このため、テンプレートの変更が可能な「キャンセラブル指紋照合方法」が提案されている（例えば、特許文献１参照）。
【０００７】
図５は、このような従来のキャンセラブル認証方法の基本的な登録処理と認証処理のフローの例を示す図である。
【０００８】
図５に示すように、これら２つの処理はネットワークを介したクライアント・サーバモデルを例として考えられている。
【０００９】
ここで、図５に示す生体情報の登録処理においては、まず、生体情報をクライアントに入力し、生体情報固有の特徴Ｘを抽出する。次に、パラメータθによって決まる関数Ｆθを用いて計算したＦθ（Ｘ）をサーバに送信し、テンプレートとして登録する。そして、認証処理においては、再度生体情報をクライアントに入力し、特徴Ｘ’を抽出する。生体情報は以前に取得したＸと全く同じものを取得できることは稀であり、多少の揺らぎが生じるため、このＸ’はＸと類似の異なる値となる。特徴抽出後は、同様に関数Ｆθを用いて計算したFθ（Ｘ’）をサーバに送信し、事前に登録してあったテンプレートＦθ（Ｘ）と照合を行い、その類似度により判定を行う。
【００１０】
ここで、テンプレートが漏洩した際には、パラメータθを変更することにより新しい関数Ｆθを設定し、それによって、再登録するテンプレートを以前のテンプレートと関連性の浅いものとする。このように、キャンセラブル認証の特長は、テンプレートの変更を行えることである。さらに、サーバ側に生体情報を秘匿したまま認証を行えることも挙げられる。
【００１１】
しかし、キャンセラブル認証方法は、生体情報を必ずしも隠し切れておらず、θを知らずにテンプレートＦθ（Ｘ）からＸを復元することの困難性は示されているが、何らかの方法でθを知られた場合には、この変換方法から、生体情報の復元率が飛躍的に高まってしまうという大きな欠点を有している。さらに、このキャンセラブル認証方法においては、照合のためにテンプレートにある程度の生体的特徴を残さねばならず、同一人物の複数のテンプレートを入手された場合、そのデータの偏りから生体情報を予測されてしまう恐れもあった。
【００１２】
一方、上記したキャンセラブル認証方法の他に、テンプレート生成に一方向性ハッシュ関数を用い、テンプレートからの生体情報の予測を困難にした認証方式も提案されているが、キャンセラブル認証方法以外の方式では、テンプレートが漏洩した場合でも同一のテンプレートを生涯使い続けなければならない。たとえ今は安全でも、将来テンプレートから生体情報が漏れないとは言い切れないため、また、事後対策だけでなく事前対策のためにも、漏洩したパスワードを更新する様にテンプレートにも更新機能が必要となる。
【００１３】
図６及び図７は、秘密Ｓを指紋を用いて保管庫（Vault）に保管し、それを再度指紋を用いることで取り出すようにした“Helper Data Architecture”のテンプレート保管庫を利用した指紋認証方法における符号化処理方法（図６）と復号化処理方法（図７）を説明するものである。
【００１４】
図６に示すように、この指紋認証方法における符号化処理では、まず守るべき秘密にCRC符号を付加し、そのbit列から多項式を生成する。次に、指紋をその多項式に投影し、後述のChaff方式を用いて Chaff points
を配置する。これにより、指紋を投影した多項式上の点と Chaff points との区別がつかない保管庫（Vault）を生成する。
【００１５】
そして、図７に示すように、この指紋認証方式における復号化処理では、保管庫と再度入力された指紋から多項式上の点と思われる候補の点を抽出する。さらに、その候補点からラグランジェ補間法によって多項式を復元できる最小個数の点を選び、多項式を復元していく。このとき、復元された秘密のCRC符号が正しければ秘密を復元できたとし、正しくなければ再度候補点から点を選出し、多項式を復元する。以上のことを正しい秘密が復元されるまで繰り返すことで、復号化を行うようにしている。
【００１６】
図８及び図９は、上記したHelper Data Architectureの一種と考えられる方式で、指紋の特徴である特徴点（minutiae）を隠蔽及び復元するためのChaff方式と呼ばれるものであり、図８は、当該Chaff方式における隠蔽処理方法を示し、図９は、当該Chaff方式における復元処理方法を示す。
【００１７】
図８に示す隠蔽処理は、Chaff pointsと呼ばれる点を配置することで行われる。配置の方法は、まずランダムに点を打ち、その点から距離ｄ内に他の点があれば先ほど打った点は消去してもう一度ランダムに点を打つ。他の点がなければその点はChaff  pointsとし、次の点を打つ。以上の作業を、十分に点が配置されるか、もしくは点が置けなくなるまで行う。こうして生成した隠蔽データを、ここでは“Helper  Data”と呼ぶ。
【００１８】
図９に示す復元処理は、再度指紋を入力し、その特徴点をHelper Dataの点と重ね合わせ、特徴点近傍の点を取り出すことで行われる。
【特許文献１】特開２００６−１５８８５１号公報
【発明の開示】
【発明が解決しようとする課題】
【００１９】
しかし、上記のような従来のキャンセラブル指紋照合方法においては、漏洩したテンプレートから各生体固有の特徴を取り出すことができないとは、必ずしも言い切れない。さらに、テンプレート生成に一方向性ハッシュ関数を用い、テンプレートからの生体情報の予測を困難にした方法も提案されているが、キャンセラブル指紋照合方法以外の方式では、テンプレートが漏洩した場合でも、同一のテンプレートを使用し続けなければならず、例えその時点では安全でも、将来テンプレートから生体情報が漏れないとは言い切れない。また、事後対策だけでなく事前対策のためにも、漏洩したパスワードを更新する様にテンプレートにも更新機能が必要となる。
【００２０】
また、上記した“Helper Data Architecture”を利用した指紋認証方法では、本人でない他人の生体情報で認証が成功してしまう他人受入率（FAR）が低いものの、本人を誤って他人と認識する本人拒否率（FRR）は高く、認証に成功しないことが多いという欠点もある。さらに、復号化処理でのラグランジェ補間法の繰り返しには多くの計算が必要であり、その実用性が疑問視されること、同一の秘密に対して、保管庫の更新により生体情報が漏れないような安全な更新が保障されていないこと等の欠点を有していた。
【００２１】
そして、上記したChaff方式においては、Helper Dataの更新により生体情報が漏れないような安全な更新方法が知られていないという欠点を有していたのである。
【００２２】
本発明は、上記した従来の種々の生体認証方法の課題に鑑みてなされたものであり、テンプレートが漏洩しても「なりすまし行為」が行えず、且つテンプレートの変更が可能な生体認証情報の登録方法及び生体認証方法を提案することを目的とする。
【課題を解決するための手段】
【００２３】
前記課題を解決するために、本発明は、（ａ）生体情報をクライアント端末装置に入力するステップと、（ｂ）前記生体情報の第１の特徴データＸ1を抽出するステップと、（ｃ）前記第１の特徴データＸ1を、ランダムに生成されたデータ変換量により変換するステップと、（ｄ）前記データ変換された前記第１の特徴データを一方向性ハッシュ関数に通し、これにより得られたデータ変換情報を認証サーバに送信するステップと、（ｅ）前記認証サーバにおいて前記データ変換情報を前記生体情報のテンプレートとして登録するステップと、の各ステップを有する生体情報の登録方法を提供するものである。
【００２４】
ところで、前記ステップ（ｃ）において、前記ランダムに生成されたデータ変換量を、Fingerprint Vaultを用いてHelper Dataとして登録する。
【００２５】
また、当該ステップ（ｃ）において、前記Helper Dataは三次元データとし、前記三次元データのＺ座標のみを変更することにより前記Helper Dataの更新を行うようにしている。
【００２６】
本発明は、さらに、前記のステップ（ａ）乃至（ｅ）と、（ｆ）前記生体情報を前記クライアント端末装置に入力して、第２の特徴データＸ2を得るステップと、（ｇ）前記第２の特徴データＸ2から前記データ変換量と前記第１の特徴データＸ1を復元するステップと、（ｈ）前記復元された第１の特徴データＸ1を前記復元されたデータ変換量により変換するステップと、（ｉ）前記データ変換された特徴データを一方向性ハッシュ関数に通し、これにより得られたデータ変換情報を認証サーバに送信するステップと、（ｊ）前記認証サーバにおいて、前記ステップ（ｅ）において登録されていたテンプレートと、前記ステップ（ｉ）によって得られたデータ変換情報とを照合するステップと、の各ステップを含む生体認証方法を提供するものである。
【００２７】
そして、前記ステップ（ｃ）において、前記ランダムに生成されたデータ変換量を、Fingerprint Vaultを用いてHelper Dataとして登録する。
【００２８】
また、前記ステップ（ｇ）において、前記第２の特徴データＸ2とHelper Dataから、Fingerprint Vaultを用いて前記データ変換量と前記第１の特徴データＸ1を復元する。
【００２９】
ここで、当該ステップ（ｃ）の前記Helper Dataは、三次元データとし、前記三次元データのＺ座標のみを変更することにより前記Helper Dataの更新を行うのである。
【発明の効果】
【００３０】
本発明に係る生体認証情報の登録情報及び生体認証方法においては、キャンセラブル認証方法を基にしているため、データ変換量をランダムに変更することによって登録テンプレートの変更が可能である。さらに、照合以外の処理は全てクライアントで行うため、サーバから生体情報が漏洩することもない。これに加え、テンプレートを一方向性Hash関数に通すことで生体的特徴を残すことがなく、キャンセラブル認証方法の問題点を解決したのである。
【００３１】
本発明の生体情報の登録及び認証方法では、Helper Dataを３次元データとし、さらにそのz座標のみを変更することで、生体情報の漏洩なしにHelper Dataの更新が可能としたのである。
【発明を実施するための最良の形態】
【００３２】
以下、本発明の生体情報の登録及び生体認証方法の詳細について図面を参照しつつ詳しく説明する。
【００３３】
図１は、本発明に係る生体情報の登録方法の処理フローを示す図、図２は、本発明に係る生体認証方法の処理フローを示す図である。
【００３４】
図１に示すように、本発明の生体情報の登録方法においては、まず生体情報をクライアントに入力し、第１の特徴データＸ1を得る。そしてデータ変換量をランダムに生成し、そのデータ変換量を用いて第１の特徴データＸ1を変換する。そして変換後のデータを一方向性Hash関数に通し、得られたデータをサーバに送信し、テンプレートとして登録する。さらに、データ変換量は
Fingerprint Vault を用いて Helper Data とし、これはクライアントに登録しておく。
【００３５】
また、図２に示すように、本発明の生体認証方法においては、生体情報をクライアントに入力し、第２の特徴データＸ2を得る。そして第２の特徴データＸ2とHelper DataからFingerprint Vaultを用いてデータ変換量を復元し、復元の過程で生成された第１の特徴データＸ1を再びデータ変換量を用いて変換する。これを一方向性Hash関数に通し、出てきたデータをサーバに送信し、テンプレートと比較することで照合を行う。
【００３６】
本発明の生体情報の登録及び生体認証方法では、キャンセラブル認証方法を基にしているため、データ変換量をランダムに変更することによって登録テンプレートの変更が可能である。さらに、照合以外の処理は全てクライアントで行うため、サーバから生体情報が漏洩することもない。これに加え、テンプレートを一方向性Hash関数に通すことで生体的特徴を残すことがなく、キャンセラブル認証方法の問題点を解決している。
【００３７】
次に、本発明の生体情報の登録及び生体認証方法においてのHelper Dataの作成と、Helper Dataからの変換量の抽出について説明する。
【００３８】
図３は、本発明の生体情報の登録及び生体認証方法に係るHelper Dataの作成フローを示す図を示し、図４は、本発明の生体情報の登録及び認証方法に係るデータ変換量の抽出フローを示す図である。
【００３９】
Helper Data作成、及び変換量抽出は、前述したFingerprint VaultにChaff方式を適用して行う。
【００４０】
図３に示すように、本発明の生体情報の登録及び生体認証方法ではデータ変換量から生成する多項式をＸＺ平面上に乗せる。次に、ＸＹ平面上に入力されたFingerprintの特徴点を多項式に投影し、特徴点にＺ座標を加える。こうすることにより、本発明の生体情報の登録及び認証方法の  Helper Data は Fingerprint Vault と異なり、３次元のデータとなる。これは、データ変換量抽出の始めにChaff方式を用いて特徴点を復元することで、ラグランジェ補間法の適用を1回に抑え、計算量を削減するための処理である。また、Chaff方式を用いることで、Fingerprint
Vault と異なり本人拒否率（FRR）はChaff方式と同等できる。なお、ここではＸＺ平面上に多項式を生成したが、このｘ軸に（ｘ，ｙ）の値に依存した値を割り当てることができる。
【００４１】
次に、本発明の生体情報の登録及び生体認証方法においてのHelper Dataの更新について述べる。Helper Dataの更新は、データ変換量の変更に不可欠である。
【００４２】
本発明の生体情報の登録及び生体認証方法では、Helper Dataを３次元データとし、さらにそのｚ座標のみを変更することで、生体情報の漏洩なしにHelper Dataの更新が可能となった。
【００４３】
本発明の生体情報の登録及び生体認証方法において、既存の３方式それぞれの問題点、つまり、キャンセラブル認証方法においてテンプレートにある程度の生体的特徴が残ってしまう点、Ｆθ（Ｘ）とθからＸが復元されてしまう点、Fingerprint Vaultにおいて本人拒否率（FRR）が高く、多くの計算量が掛かる点、Chaff方式において安全なHelper
Dataの更新が保障されていない点は解消されている。
【００４４】
さらに、クライアントにおいて全ての処理を行うことで、サーバに対して生体情報を秘匿することもできる。
【産業上の利用可能性】
【００４５】
本発明は、指紋、虹彩、静脈を含む種々の生体認証のための登録情報を安全に保護するため生体認証情報の登録方法及び生体認証方法に関し、特に、テンプレートの変更を可能としつつ、テンプレート自体の安全性をより向上させた生体認証情報の登録方法及び生体認証方法に関するものであり、産業上の利用可能性を有する。
【図面の簡単な説明】
【００４６】
【図１】本発明の生体情報の登録方法の処理フローを示す図である。
【図２】本発明の生体情報の認証方法の処理フローを示す図である。
【図３】本発明の生体情報の登録及び生体認証方法に係るHelper Dataの作成フローを示す図である。
【図４】本発明の生体情報の登録及び生体認証方法に係るデータ変換量の抽出フローを示す図である。
【図５】従来のキャンセラブル認証方法の基本的な登録処理と認証処理のフローの例を示す図である。
【図６】従来の“HelperData Architecture”のテンプレート保管庫を利用した指紋認証方法における符合化処理方法の説明図である。
【図７】従来の“HelperData Architecture”のテンプレート保管庫を利用した指紋認証方法における復号化処理方法の説明図である。
【図８】従来のChaff方式における隠蔽処理方法の説明図である。
【図９】従来のChaff方式における復元処理方法の説明図である。
【図１】
0005360521.tif 000002
【図２】
0005360521.tif 000003
【図３】
0005360521.tif 000004
【図４】
0005360521.tif 000005
【図５】
0005360521.tif 000006
【図６】
0005360521.tif 000007
【図７】
0005360521.tif 000008
【図８】
0005360521.tif 000009
【図９】
0005360521.tif 000010