(57)【要約】改良されたコンピュータ・ネットワーク・セキュリティ・システムおよび方法、並びにネットワーク・アクセスを制御するために用いられる個人識別装置。新規ユーザーは携帯型個人デジタル識別装置に登録され、ユーザーの入力バイオメトリックが受信されて、記憶装置に安全に保存される。秘密鍵も生成されて、記憶装置に安全に保存される。個人デジタル識別装置がワークステーション近傍の空間領域内にある場合、第一の信号がワークステーションに関連付けられたベースユニットから個人デジタル識別装置へ送信され、個人デジタル識別装置は自動的に応答信号を送信してベースユニットと個人デジタル識別装置との間で通信を確立する。個人デジタル識別装置によりデジタルかつバイオメトリック署名されたチャレンジ応答メッセージが生成されて送信される。
2004518229.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータ・ネットワークへのアクセスを制御する個人デジタル識別装置であって、前記ネットワークは各々ベースユニットが関連付けられた複数のワークステーションを含み、前記ベースユニットは前記個人デジタル識別装置と無線通信するように構成されており、前記ネットワークはさらにセキュリティ・マネージャ・コンポーネントおよびネットワーク記憶装置を利用する中央サーバーを含み、前記セキュリティ・マネージャ・コンポーネントには秘密鍵および対応する公開鍵が関連付けられており、前記ネットワーク記憶装置は前記個人デジタル識別装置により保持される秘密鍵に対応する公開鍵を含み、前記個人デジタル識別装置は軽量であり、前記装置に登録されたユーザーが着用および／または携帯するように構成されており、
（ａ）前記ベースユニットとの通信用にトランシーバを含む無線通信コンポーネントと、
（ｂ）ユーザーの入力バイオメトリックを取得してそのデジタル表現を生成するバイオメトリック取得コンポーネントと、
（ｃ）前記トランシーバおよび前記バイオメトリック・コンポーネントと通信するように構成されており、
（ｉ）前記デジタル表現から導出されたテンプレートが、前記バイオメトリック・コンポーネントにより予め生成されているユーザーのバイオメトリック・デジタル表現から導出されたマスターテンプレートに合致するか否かを評価して、合致すると判定された場合は合致信号を生成する動作と、
（ｉｉ）前記個人デジタル識別装置により保持される前記秘密鍵およびそれに対応する前記公開鍵を生成して、前記生成された公開鍵をトランシーバにより送信するように出力する動作と、
（ｉｉｉ）前記秘密鍵を用いてデジタル署名を生成する動作と、
（ｉｖ）前記セキュリティ・マネージャ・コンポーネントに関連付けられた前記秘密鍵に対応する前記公開鍵を用いて、見かけ上は前記セキュリティ・マネージャから受信された暗号化メッセージの送信元は前記セキュリティ・マネージャ・コンポーネントであることを検証する動作を実行可能なプロセッサと、
（ｄ）ユーザーのバイオメトリックの前記マスターテンプレートおよび、前記セキュリティ・マネージャ・コンポーネントに関連付けられている、前記生成された秘密鍵および前記秘密鍵に対応する前記公開鍵を含むセキュリティ保障された記憶装置と、
（ｅ）電源と、
（ｆ）筐体と、を含み、
前記個人デジタル識別装置は、前記セキュリティ・マネージャ・コンポーネントから受信したチャレンジ・メッセージに応答して前記合致信号が生成された後で、前記生成された秘密鍵を用いて、デジタル署名されたチャレンジ応答メッセージを生成し、かつ前記応答メッセージを送信するように構成されており、前記個人デジタル識別装置はユーザーのバイオメトリックの前記マスターテンプレートおよび前記秘密鍵の一切の送信を防止するように構成されている個人デジタル識別装置。
【請求項２】
前記バイオメトリック・コンポーネントはトランスデューサを含む、請求項１に記載の個人デジタル識別装置。
【請求項３】
前記トランシーバにより受信された、前記ベースユニットの１個からの信号に応答して、応答信号が前記トランシーバから自動的に送信される、請求項１に記載の個人デジタル識別装置。
【請求項４】
前記セキュリティ保障された記憶装置に保存されている全データは、単独では前記ユーザーを識別不可能である、請求項１に記載の個人デジタル識別装置。
【請求項５】
前記トランスデューサはソリッドステート指紋センサーを含む、請求項２に記載の個人デジタル識別装置。
【請求項６】
前記トランシーバは光信号を送信および受信する、請求項５に記載の個人デジタル識別装置。
【請求項７】
前記トランシーバはラジオ周波数信号を送信および受信する、請求項６に記載の個人デジタル識別装置。
【請求項８】
デバイスホルダーと組み合わせた個人デジタル識別装置であって、前記デバイスホルダーは前記個人デジタル識別装置の前記筐体と協働して、前記個人デジタル識別装置が前記ホルダーデバイスに対して適切に位置付けられた際に前記ホルダーデバイスにより保持されるように構成されており、前記デバイスホルダーは前記個人デジタル識別装置が前記デバイスホルダーにより保持された際に、前記個人デジタル識別装置を前記ワークステーションの１個と直接に通信可能に接続する通信コネクタを含む、請求項１に記載の個人デジタル識別装置。
【請求項９】
ワークステーションを含むネットワーク・アクセスポイントにおけるコンピュータ・ネットワークへのアクセスを制御するセキュリティ・システムであって、
Ａ．
（ａ）トランシーバを含む無線通信コンポーネントと、
（ｂ）ユーザーの入力バイオメトリックを取得してそのデジタル表現を生成するバイオメトリック取得コンポーネントと、
（ｃ）前記トランシーバおよび前記バイオメトリック・コンポーネントと通信するように構成されており、かつ
（ｉ）前記デジタル表現から導出されたテンプレートが、前記バイオメトリック・コンポーネントにより予め生成されているユーザーのバイオメトリック・デジタル表現から導出されたマスターテンプレートに合致するか否かを評価して、合致すると判定された場合は合致信号を生成する動作と、
（ｉｉ）前記個人デジタル識別装置により保持される前記秘密鍵およびそれに対応する前記公開鍵を生成して、前記生成された公開鍵をトランシーバにより送信するように出力する動作と、
（ｉｉｉ）前記秘密鍵を用いてデジタル署名を生成する動作と、
（ｉｖ）前記セキュリティ・マネージャ・コンポーネントに関連付けられた前記秘密鍵に対応する前記公開鍵を用いて、見かけ上は前記セキュリティ・マネージャから受信された暗号化メッセージの送信元は前記セキュリティ・マネージャ・コンポーネントであることを検証する動作を実行可能なプロセッサと、
（ｄ）ユーザーのバイオメトリックの前記マスターテンプレートおよび、前記セキュリティ・マネージャ・コンポーネントに関連付けられている、前記生成された秘密鍵および前記秘密鍵に対応する前記公開鍵を含むセキュリティ保障された記憶装置とを含む個人デジタル識別装置と、
Ｂ．前記ワークステーションに関連付けられており、前記個人デジタル識別装置との無線通信の開始および維持をするように構成されたベースユニットと、
Ｃ．ネットワーク記憶装置へのアクセス権を有し、前記セキュリティ・マネージャ・コンポーネントおよび前記個人デジタル識別装置を利用して前記ユーザーを認証する中央サーバーと、を含み、
前記個人デジタル識別装置は、前記セキュリティ・マネージャ・コンポーネントから受信したチャレンジに応答して前記合致信号が生成された後で、前記生成された秘密鍵を用いて、デジタル署名されたチャレンジ応答メッセージを生成し、かつ前記応答メッセージを送信するように構成されており、前記個人デジタル識別装置はユーザーのバイオメトリックの前記マスターテンプレートおよび前記秘密鍵の一切の送信を防止するように構成されており、
前記通信は前記ワークステーションに関連付けられた空間領域（エンベロープ）により規定される範囲にわたり延在しており、
前記ネットワーク記憶装置は前記個人デジタル識別装置により生成された前記秘密鍵に対応する公開鍵を含むセキュリティ・システム。
【請求項１０】
前記バイオメトリック・コンポーネントはトランスデューサを含む、請求項９に記載のセキュリティ・システム。
【請求項１１】
前記ワークステーションは、パーソナル・コンピュータである、請求項９に記載のセキュリティ・システム。
【請求項１２】
前記ベースユニットは前記個人デジタル識別装置に規則的に第一の信号を送信し、前記個人デジタル識別装置が前記空間領域内にある場合、前記個人デジタル識別装置はそれに応答して応答信号を自動的に送信する、請求項９に記載のセキュリティ・システム。
【請求項１３】
複数の前記個人デジタル識別装置、複数のワークステーション、および複数のベースユニットを含み、ベースユニットは各前記ワークステーションに関連付けられており、前記ベースユニットが各前記個人デジタル識別装置から前記応答信号を受信した後で、各前記ベースユニットは前記ベースユニットに関連付けられた空間領域内の各前記個人デジタル識別装置へポーリング信号を送信する、請求項１２に記載のセキュリティ・システム。
【請求項１４】
前記個人デジタル識別装置の前記セキュリティ保障された記憶装置に保存されている全データは、単独では前記ユーザーを識別不可能である、請求項９に記載のセキュリティ・システム。
【請求項１５】
前記ユーザーの個人識別装置が前記空間領域内に配置された場合、前記ネットワーク記憶装置は、前記ワークステーションの画面に表示するための前記ユーザーを識別可能なデータを含む、請求項９に記載のセキュリティ・システム。
【請求項１６】
前記空間領域は、前記ワークステーションの画面に表示された情報を観察者が読むことおよび／または理解することができる、前記ワークステーションの近傍位置を包含するように構成された形状と面積を有する、請求項９に記載のセキュリティ・システム。
【請求項１７】
コンピュータ・ネットワークへのアクセスを制御する方法であってワークステーションが前記ネットワークへのアクセスポイントを提供し、前記ネットワークは前記ワークステーションおよびセキュリティ保障されたネットワーク記憶装置と通信する中央サーバーと、各前記ワークステーションに関連付けられたユーザーが携帯または保持する携帯型個人デジタル識別装置との無線通信の開始および維持を行なうように構成されたベースユニットと、を含み、前記無線通信は前記ワークステーションに関連付けられた空間領域により規定される範囲にわたって延在しており、
（ａ）携帯型個人デジタル識別装置をユーザーに登録した場合に、前記携帯個人デジタル識別装置内で、前記ユーザーの入力バイオメトリックを受信する工程と、そのデジタル表現を生成する工程と、前記デジタル表現からマスターテンプレートを導出する工程と、前記マスターテンプレートを記憶装置内に安全に保存する工程と、秘密鍵を生成して前記記憶装置に安全に保存する工程と、前記生成された秘密鍵に対応する公開鍵を生成する工程と、前記生成された公開鍵を前記ネットワーク記憶装置に保存するように提供する工程と、ネットワーク・セキュリティ・マネージャ・コンポーネントに関連付けられた秘密鍵に対応する公開鍵を受信して前記記憶装置に保存する工程と、
（ｂ）１個の前記ワークステーションに関連付けられたベースユニットから前記個人デジタル識別装置へ第一の信号を送信して、前記個人デジタル識別装置が前記空間領域内にある場合に、前記第一の信号に応答して前記個人デジタル識別装置から前記ベースユニットと前記個人デジタル識別装置との間に通信を確立する応答信号を自動的に送信する工程と、
（ｃ）前記個人デジタル識別装置において、見かけ上は前記ネットワーク・セキュリティ・マネージャ・コンポーネントからのデジタル署名されたチャレンジ・メッセージを受信して、前記セキュリティ・マネージャ・コンポーネントに関連付けられた前記秘密鍵に対応する前記公開鍵を用いて前記個人デジタル識別装置内で前記チャレンジの送信元を検証する工程と、
（ｄ）前記携帯型個人デジタル識別装置で前記ユーザーの入力バイオメトリックを取得して、そのデジタル表現を生成し、前記デジタル表現からバイオメトリック・テンプレートを導出する工程と、
（ｅ）前記携帯型個人デジタル識別装置内で、前記バイオメトリック・テンプレートが前記マスターテンプレートに対応するか否かを評価し、合致すると判定された場合は合致信号を生成する工程と、
（ｆ）前記チャレンジ・メッセージに応答して前記合致信号の生成の後で、前記個人デジタル識別装置内で、前記生成された秘密鍵を用いて、デジタル署名されたチャレンジ応答メッセージを生成し、前記応答メッセージを前記セキュリティ・マネージャ・コンポーネントへ送信して前記ユーザーを認証する工程と、
（ｇ）前記認証されたユーザーが前記ワークステーションを介して前記コンピュータ・ネットワークへアクセスすることを許可する工程と、を含む方法。
【請求項１８】
観察者が前記ワークステーションの画面に表示された情報を読むことおよび／または理解することができる、前記ワークステーションの近傍位置を包含するように、前記空間領域の形状と面積を構成する工程をさらに含む、請求項１７に記載の方法。
【請求項１９】
前記ベースユニットが前記個人デジタル識別装置からの前記応答信号を受信した後で、前記個人デジタル識別装置が前記ベースユニットの関連付けられた空間領域内に留まっているか否かを判定するように、前記ベースユニットから前記個人デジタル識別装置へポーリング信号を送信する工程をさらに含む、請求項１７に記載の方法。
【請求項２０】
前記ユーザーが識別された場合に、前記ワークステーションの画面に前記ユーザーの識別データを表示する工程をさらに含む、請求項１７に記載の方法。
【請求項２１】
保証人立会いのもとに登録人により前記ユーザーを最初に登録する工程をさらに含み、前記登録人および前記保証人はそれぞれコンピュータ・ネットワークの登録済みユーザーであって、前記登録人はコンピュータ・ネットワークへのアクセス権を有し、前記セキュリティ・マネージャ・コンポーネントにより検証されて登録権限を付与されており、前記保証人は前記セキュリティ・マネージャ・コンポーネントに対しバイオメトリックによりデジタル署名されたメッセージを提供して前記保証人を認証して、前記ユーザーの登録作業の間、前記登録人、保証人、およびユーザーは前記空間領域内に留まることが求められる工程をさらに含む、請求項１７に記載の方法。
【請求項２２】
新たに個人デジタル識別装置が前記空間領域内位置に入った場合に、前記個人デジタル識別装置に登録されているユーザーがバイオメトリック識別されるまでの間、前記ワークステーションの画面を消去するようポリシ・マネージャ・コンポーネントが指示できる、請求項１７に記載の方法。
【発明の詳細な説明】
【０００１】
発明の分野
本発明は、コンピュータ・ネットワークのセキュリティ保障手段に関し、特に、コンピュータ・ネットワークに組み込まれており、個々の所有者を確実に認証するとともにコンピュータ・ネットワークのコンポーネントへ個人がアクセスする範囲を制御するように用いられるデジタル個人識別装置に関する。
【０００２】
発明の背景
電子情報の保護に対する関心が世界的に高まっている。競争関係のグローバル化、データのプライバシー保護に対する社会意識の向上、さらには法体系が新たに整備される中で、当該情報が知的財産、極めて重要な業務データまたは個人情報のいずれにせよ、不用意に漏洩した場合に支払う代償が増大しつつある。これらの問題は、事実上どこから何台でもアクセス装置を用いてデータへアクセスできるネットワーク技術の普及により複雑化している。例えば米国の医療関連業界（個人識別可能な医療関連情報のセキュリティとプライバシーを保証するように医療機関はあらゆる有効な手立てを講じるべしとの規則が採用されている）等、いくつかの業界に影響を与えている規制により、コンピュータ・ネットワークのユーザーと思しき個人について、ネットワーク、あるいは機微／機密であると考えられるネットワーク内のデータへのアクセスを許可する前に認証できるようにする必要性が高まりつつある。
【０００３】
ネットワークの各コンポーネント、およびコンポーネント間の各経路は、攻撃の標的（すなわち、許可を得ない者によるデータアクセスを許すこと）になり得る。さらに、ネットワークを介して機密データにアクセス可能となるために必ずしもネットワークにログインする必要がない。その理由は、ネットワークコンピュータ画面を覗ける距離にいる無許可の閲覧者は、画面に機密データが表示された際に単にそれを見るだけで機密データにアクセスできるからである。従って、データアクセス保護を実現しようとする通常の方式は、ユーザー認証による保護の提供を狙いとするが、無許可のネットワークユーザーの問題にしか対応しておらず、無許可の閲覧者がネットワークへのアクセスを一切行なわない場合の問題は対象外である。
【０００４】
暗号はセキュリティ手段としてネットワーク接続されたシステムで広く利用されており、秘密鍵と公開鍵を用いる。”秘密鍵”および”公開鍵”という用語は当分野で公知であって非対称暗号化に利用され、片方の鍵を暗号化に、もう片方の鍵を復号化に用い、これらの鍵の片方、すなわち秘密鍵をユーザーが所持して絶対に他人に明かすことも譲渡することもない。非対称暗号化は、暗号化と復号化の両方に共有鍵を用いる対称暗号化（鍵を共有する態様がセキュリティ面で不安要因をもたらす）よりも高いセキュリティ・レベルを提供すると考えられる。非対称暗号化を用いてメッセージを相手に送る際に、公開鍵基盤（ＰＫＩ）を利用して相手の公開鍵を特定してメッセージの暗号化に利用し、対応する秘密鍵の所有者（すなわち、メッセージの宛先である相手）だけがメッセージを復号化できる。
【０００５】
デジタル署名という用語もまた当分野で公知であって、秘密鍵を用いて暗号化されたメッセージ・ダイジェストを指す。メッセージ・ダイジェストとは、署名対象の文書またはトランザクションの短縮された形式であって、これを用いて文書またはトランザクション自体を作り直すことはできず、文書に対するわずかな変更でも極めて敏感に検知する。デジタル署名の検証は、対応する公開鍵でそれを復号化してメッセージ・ダイジェストを復元し、次いでこのメッセージ・ダイジェストを、署名済みである筈の文書からベリファイアが計算したものと比較することにより行なわれる。この技術は認証処理の一環として利用可能であり、利用者がメッセージ・ダイジェストを暗号化して返すことができることにより固有の秘密鍵を所有していることを証明するものである。この場合、メッセージ自体の内容は重要でなく、認証が完了した後でメッセージ・ダイジェストを破棄してよい。より一般的には、暗号化されたメッセージ・ダイジェストは、固有鍵の所有者がメッセージを含むトランザクションに関与していることを検証し、多くの場合、物理的な署名を用いて文書における所有者の関与を示すのと同様に、メッセージに対する同意を与えたことを示す目的に利用できる。この場合、ダイジェストの暗号化形式はセキュリティ保障されたサイトに保存されなければならない。デジタル署名の両形式を本発明の一部として用いる。
【０００６】
ユーザー識別システムはパスワード、スマートカード、バイオメトリック（生体特徴）、および／またはＰＫＩ（公開鍵基盤）等のセキュリティ手段を用いる場合が多く、それらは認証処理において公知のシステムでは攻撃される抜け道を残している部分のセキュリティを保障することに焦点を当てる。例えば、ソフトウェアのみのシステムはユーザー名やパスワード等、ユーザーが知っている内容で、かなり簡単に盗まれたり、見られたり、あるいは他の手段で入手でき、無許可の人物が利用しやすいものに依存している。スマートカード等のトークン（すなわち、ユーザーが所持しているもの）に基づくセキュリティ手段も同様に脆弱である。その理由は、トークンは紛失や盗難の恐れがあり、従って、正規のユーザーが実際に使っているとは限らないからである。
【０００７】
バイオメトリック（すなわち、ユーザーの生体特徴を利用する）識別に基づくセキュリティ手段も同様に無許可の侵入に対し脆弱になり得る。例えば、いかなる場合でも中央サーバーを利用して提示されたバイオメトリックを検証する方法はセキュリティ面で弱点となる。その理由は、通信チャネルのいずれか（または両方）を介して重要なバイオメトリックデータを送信して遠隔地で検証（すなわち、提示されたバイオメトリックを取得するバイオメトリック・トランスデューサとローカル・コンピュータの間、およびローカル・コンピュータと提示されたバイオメトリックが比較するための検証データを含んでいる検証用中央サーバーとの間で）させることが必要だからである。従って、バイオメトリック識別子をセキュリティ手段として効果的に機能させるためには、その取り扱いや処理の仕方が極めて重要である。
【０００８】
コンピュータ・ネットワークを無許可の侵入の脅威に晒しかねない潜在的な欠陥の場所を特定するだけではなく、総合的な方法でそのような弱点に対処して弱点を減らす手段をも開発する必要がある。セキュリティ侵害は以下を含むさまざまな形で現われる。再現（以前の応答要素を取得して虚偽の応答を差し挟むのに利用する状況を指す）、盗み見（無許可の閲覧を指す）、なりすまし（何者かが潜入して、ネットワークの真正な要素であるかのごとく受信および送信の両方を管理することを指す）、および／または便乗（正規のユーザーが許可されたアクセスシーケンスを終了する際に、そのシーケンスに追随することで無許可アクセスを行なうことを指す）。
【０００９】
識別／検証処理の間、時間差および／または片側検証に起因する脆弱性を回避することが重要である。ある種のセキュリティ違反に対抗するためには、検証がリアルタイムに生起し、中央の検証機関とローカルな被検証対象の間で相互検証を行なう必要性を出願人は認識している。
【００１０】
さらに、ネットワークへの異なるレベルのアクセス権限（例：無制限アクセス、部分的アクセス）を有するユーザー向けに、自動的かつ効果的に監視および制御を行ない、かつ監査証跡を生成する手段が必要とされている。
【００１１】
発明の概要
本発明によって、個人の身元およびその人物が特定のネットワーク・アクセスポイントにいることの両方をリアルタイムで認証するように、改良されたネットワーク・セキュリティ・システムおよび方法、並びにネットワーク・アクセスを制御するための個人識別装置を提供する。携帯型個人デジタル識別装置にオンボードでバイオメトリック検証および暗号化アプリケーションを同時に提供することにより、ネットワークに保存されたデータへの安全なアクセスを確立し、かつネットワークを介して安全にトランザクションを実行するために利用される認証済みデジタル署名を提供する。
【００１２】
本発明によるセキュリティ・システムは、ネットワーク・アクセスポイントにおいてコンピュータ・ネットワークへのアクセスを制御するものであり、例えばパーソナル・コンピュータ（ＰＣ）等のワークステーションを含む。個人デジタル識別装置は、
（ａ）トランシーバを含む無線通信コンポーネントと、
（ｂ）トランスデューサおよびユーザーが入力したバイオメトリックを取得してそのデジタル表現を生成するソフトウェア・コンポーネントを含むバイオメトリック取得コンポーネントと、
（ｃ）トランシーバおよびバイオメトリック・コンポーネントと通信するように構成されており、
（ｉ）デジタル表現から導出されたテンプレートが、バイオメトリック・コンポーネントにより予め生成されているユーザーのバイオメトリック・デジタル表現から導出されたマスターテンプレートに合致するか否かを評価して、合致すると判定された場合は合致信号を生成する動作と、
（ｉｉ）個人デジタル識別装置により保持される秘密鍵およびそれに対応する公開鍵を生成して、生成された公開鍵をトランシーバにより送信するように出力する動作と、
（ｉｉｉ）秘密鍵を用いてデジタル署名を生成する動作と、
（ｉｖ）セキュリティ・マネージャ・コンポーネントに関連付けられた秘密鍵に対応する公開鍵を用いて、暗号化された受信メッセージがセキュリティ・マネージャ・コンポーネントから送られてきたことを検証する動作が可能なプロセッサと、
（ｄ）ユーザーのバイオメトリックのマスターテンプレートおよび、セキュリティ・マネージャ・コンポーネントに関連付けられている、生成された秘密鍵および秘密鍵に対応する公開鍵を含むセキュリティ保障された記憶装置とを含む。個人デジタル識別装置は、セキュリティ・マネージャ・コンポーネントから受信したチャレンジに応答して合致信号が生成された後で、生成された秘密鍵を用いて、デジタル署名されたチャレンジ応答メッセージを生成し、かつ応答メッセージを送信するように構成されている。個人デジタル識別装置はさらに、ユーザーのバイオメトリックのマスターテンプレートおよび秘密鍵の一切の送信を防止するように構成されている。
【００１３】
ベースユニットがワークステーションに関連付けられており、個人デジタル識別装置との無線通信を開始および維持するように構成されている。通信は、ワークステーションに関連付けられた空間領域（エンベロープ）が規定する範囲にわたって行なわれ、空間領域の形状と面積は、ワークステーションの画面に表示された情報を観察者が読む、および／または理解することが可能なワークステーションの近傍を包含するように設定されている。
【００１４】
セキュリティ保障された中央サーバーはネットワーク記憶装置にアクセス可能であり、セキュリティ・マネージャ・コンポーネントおよび個人デジタル識別装置を利用してユーザーを認証する。ネットワーク記憶装置は個人デジタル識別装置が生成した秘密鍵に対応する公開鍵を含む。
【００１５】
好ましくはベースユニットが個人デジタル識別装置へ第一の信号を定期的に送信し、個人デジタル識別装置が空間領域内にある場合、個人デジタル識別装置はそれに応答して自動的に応答信号を送信する。本システムは、好ましくは複数の個人デジタル識別装置、複数のワークステーション、および複数のベースユニットを含み、ベースユニットは各ワークステーションに関連付けられており、各ベースユニットは、各個人デジタル識別装置からの応答信号をベースユニットが受信した後で、ベースユニットに関連付けられた空間領域内の各個人デジタル識別装置へポーリング信号を送信する。
【００１６】
好ましくは、個人デジタル識別装置のセキュリティ保障された記憶装置に保存されたデータはすべて単独ではユーザーを個人識別できず、ネットワーク記憶装置はユーザー識別可能なデータを含んでおり、ユーザーの個人識別装置が空間領域内に存在する場合にワークステーション画面に表示される。
【００１７】
好ましくは、ワークステーションにおいてユーザーがネットワークへアクセスしようとして認証されたならば、ユーザーによるネットワークを介したアプリケーションへのアクセスは、セキュリティ・マネージャ・コンポーネントに指示するポリシ・マネージャ・コンポーネントにより決定される。
【００１８】
以下に例を用いて、本発明の好適な実施形態を図示する（同じ参照番号は一貫して同じ要素を示す）添付図面を参照する。
【００１９】
例示された好適な実施形態の詳細な説明
本発明による好適なセキュリティ・システムを添付図面の図１に示す。好適な実施形態においてパーソナル・コンピュータ（ＰＣ）である複数のワークステーション１００が、グローバル通信ネットワーク、広域ネットワーク（ＷＡＮ）、メトロエリア・ネットワーク（ＭＡＮ）、またはローカルエリア・ネットワーク（ＬＡＮ）のうちの任意の一つであるネットワーク２００を介して通信する。ネットワーク２００へのアクセスポイントを提供する各ＰＣ１００には、ＰＣの通信ポート（図示した実施形態ではＵＳＢポート）に接続されたベースユニット（ＢＵ）装置５０および、例えばＢＵ５０とセキュリティ保障された中央サーバー３００の間でメッセージを中継するデバイス・マネージャ（ＤＭ）１５０ソフトウェア・コンポーネントが備えられている。１個以上の個人デジタル識別装置（ＰＤＩ群）１０が、ＰＣ１００およびそれらに接続されたＢＵ５０に関連付けられた所定の検知空間領域内に存在する場合、ＢＵ５０と通信する。ＰＤＩ１０は無線通信（本実施形態では赤外線を用いているが、他の実施可能な代替的実施形態で光またはラジオ周波数等を利用してもよい）を用いてＢＵ５０と通信し、ＰＣ１００を介してネットワークへのアクセスが許可された人物に支給されて、携帯または着用される。
【００２０】
ＢＵ５０は、ＰＤＩ１０と自動的に通信を開始し、検知空間領域内に配置されたどのＰＤＩ１０とも同じ無線通信手段を用いて通信する。この検知空間領域は、ＰＣ１００のディスプレイ画面の正面および側面領域にわたって延在して、画面が十分見える近さにいて画面に表示された内容を読んだり、理解できる人物／ＰＤＩ対をすべて包含するように構成されている。ＢＵ５０／ＰＣ１００対とＰＤＩ１０の間の通信空間領域をそのように構成することで、セキュリティ・システムはＰＤＩを着用した人物がＰＣ１００の有効視認距離まで接近してきた際に必ず検知する。
【００２１】
ＰＣ１００は、ネットワーク２００を介してセキュリティ・マネージャ（ＳＭ）３４０、ポリシ・マネージャ（ＰＭ）３２０、およびトランザクション・マネージャ（ＴＭ）３８０アプリケーションが動作するセキュリティ保障された中央サーバー（群）３００と通信する。トランザクション・マネージャ３８０は、セキュリティ保障された中央サーバー（群）３００と、デバイス・マネージャ１５０およびＰＣ１００その他のネットワークサーバー上で動作している任意の関連アプリケーションを含むネットワーク上の他の装置との間のあらゆる通信を管理する。セキュリティ・マネージャ３４０は、暗号およびデジタル署名に関わるあらゆる行為を監督する。ポリシ・マネージャ３２０は、ネットワーク上のアプリケーションまたはユーザーからのデータアクセスを制限すべきか否かを判定し、すべきである場合、セキュリティ・マネージャ３４０に指示してユーザーのアクセスを適宜制限する。ソフトウェア・コンポーネント（すなわち、登録アプリケーション一式）およびセキュリティ保障されたデータベースを含む登録機関（ＲＡ）コンポーネント３６０は中央サーバーを介してアクセスされる。
【００２２】
図２を参照するに、ＰＤＩ装置１０は若干の電気回路しか含んでおらず、簡単、軽量、かつ着用可能である。ＰＤＩ１０はバイオメトリック取得コンポーネント３５を含むが、これは図示した実施形態において、ユーザーの身元を確認するためにソリッドステートの非光学式センサーを用いてユーザーの指紋画像を取得する指紋マイクロチップ・トランスデューサを含んでいる。声の特徴、虹彩パターン、および顔の特徴等、他のタイプのバイオメトリックを検知してそれらを表現信号に変換するトランスデューサは、異なる実施形態で適当な場合に利用できる他のオプションである。ユーザーのバイオメトリックを登録・検証するようにマイクロプロセッサ（群）２０が用意されており、デジタル信号を生成・検証して対称および／または非対称暗号を実装する。当分野で公知のように、セキュリティを保証した上で暗号鍵およびユーザーのバイオメトリック・テンプレートだけを保存するようにセキュリティ保障された記憶装置２５が用意されている。個人識別可能データ（すなわち、それ自身が直接または間接的にユーザーを識別するデータ）は一切ＰＤＩ１０に保存されない。その理由は、高度に熟練した無許可の第三者が、セキュリティ保障された記憶装置に侵入して、中に保存されているデータにアクセスしようと企んだ場合、ユーザーの身元情報とバイオメトリック・テンプレートの両方を盗まれる恐れがあるためである。（近赤外波長８９０ｎｍを用いた）無線通信トランシーバ１５により、近距離無線通信が可能になる。再充電可能な電池４０が電力管理システムに給電して、ＰＤＩ１０が適当な時間（例えば２週間以上）連続的に動作できるようにする。各ＰＤＩ１０には全世界で一意な識別（ＩＤ）番号が割り当てられているため、各装置はＩＤ番号により識別可能である。電池充電器５も用意されており、ＰＤＩ１０の電池４０を再充電し、再充電ホルダー（クレイドル）２５０を用いて、ＰＣの通信ポートに接続する通信ポートコネクタ４２（例えばＵＳＢコネクタ）によりＰＤＩ１０を直接ＰＣ１００に接続することができる。この直接接続（すなわちＰＣ１００用のＢＵ５０が不要、または使われないテザード（繋留）モード）は、例えばホームオフィスのようにユーザーが一人しかいないと思われる安全な場所からネットワークへのセキュリティ保障されたログオンを実現するのに有用である。デバイスホルダーは、ＰＤＩがデバイスホルダーに対して正しい位置に置かれた際にデバイスホルダーに確実に保持されるよう、ＰＤＩの筐体と協働するように構成されている。
【００２３】
図３を参照するに、ベースユニット（ＢＵ）装置５０はまた、（近赤外波長８９０ｎｍを用いる）近距離無線通信を可能にする無線通信トランシーバ５５を含む。上述のように、トランシーバ５５およびＢＵ５０の配置は、ＰＣ１００を取り巻く所定の検知空間領域内であらゆるＰＤＩ１０を受信可能にするように構成されている。マイクロプロセッサ（群）６０はＰＤＩ１０（あるいは、ＢＵの無線通信範囲複数のＰＤＩがある場合はＰＤＩ群）とＢＵ５０の間の、およびＢＵ５０とＰＣ１００の間の通信を管理する。通信ポートコネクタ６５（例えばＵＳＢコネクタ）が用意されており、ＢＵ５０をホストＰＣ１００に接続する。
【００２４】
各ＰＤＩ１０およびＢＵ５０は、トランシーバ１０、５５の動作を制御するハードウェアとソフトウェアの組合わせを含んでおり、付随するＰＣ１００のディスプレイ画面を読む人間の目の機能をほぼ近似する距離および角度特性でそれらが動作させて、ホストＰＣのディスプレイ画面上のデータを読んだり理解するのに十分な近さにいる人物／ＰＤＩ対はすべてＢＵ５０により検知される。検知空間領域の形状と大きさは、ＰＣ／ワークステーションのローカルな構成または編成要件に適合するようにＢＵおよびＰＤＩに適用される、ハードウェアとソフトウェアの組合わせを変更することで制御できる。当業者であればあらゆる所与の構成に対して所望の変更を実現することができよう。通信ソフトウェアは、そのような所定の検知空間領域内で任意かつすべてのＰＤＩ群がベースユニット５０により取得可能であり、ベースユニットは各ＰＤＩが検知空間領域に存在する限りそれらとの通信を会話形式で維持する。会話はデータの暗号化ストリームからなり、会話に参加しようと試みる他のあらゆる装置を検知できるように設定されている。ユーザーが一時的にその場を離れたり、またはＰＤＩ１０とＢＵ５０の間の視界を妨げた場合に、簡便に会話を継続するためにＰＤＩとＢＵ の両方に近距離ラジオ周波数（ＲＦ）波等の無指向性通信方式を利用する第二のトランシーバを含んでいてもよい。この方式は会話の開始には使えないが、短時間継続させることはできる。
【００２５】
各ＰＤＩ１０はまた、ＰＤＩ１０内で１個以上の公開／秘密鍵対の生成、およびＰＤＩ１０に対してメッセージの暗号化と復号化に関わるすべての後続処理を管理する暗号ソフトウェア・コンポーネントを含む。ＰＤＩ１０の真正性は、通信プロトコルを介して確認される。同プロトコルではオンボード（すなわちＰＤＩ内に組み込まれた）秘密鍵を用いて、ネットワークの中央サーバー３００で動作するセキュリティ・マネージャ・コンポーネント（ＳＭ）３４０によりＰＤＩへ送られたチャレンジに署名する。重要なのは、ＰＤＩ１０が最初にセキュリティ・マネージャのオンボード公開鍵を用いて、受信したメッセージの発信元としてセキュリティ・マネージャを認証する点である。ＰＤＩの暗号ソフトウェア・モジュールは、外部アプリケーションからのメッセージに基づいて、セキュリティ・マネージャが生成してＰＤＩへ転送したメッセージ・ダイジェストに署名するように構成されている。ＰＤＩがそのようなメッセージ・ダイジェストに署名する前に、ダイジェストの生成に用いられたセキュリティ・マネージャの鍵を検証することにより、メッセージ・ダイジェストが実際にセキュリティ・マネージャから来たことを認証する。これによりＰＤＩは、署名すべき文書以外のものには一切署名が偽造されないよう保護される。
【００２６】
本発明の閉システムの場合、暗号の基盤は比較的単純であって、デジタル署名のオンライン検証を提供する単一レイヤ階層およびセキュリティ保障されたサーバーによりサポートされる公開鍵のデータベース・レコードで構成されている。
【００２７】
バイオメトリック・ソフトウェア・コンポーネントは各ＰＤＩ１０のバイオメトリック取得コンポーネント３５に含まれている。このソフトウェア・コンポーネントは、指紋マイクロチップ３５から得られたバイオメトリック画像のデジタル表現をテンプレートに変換し、そのテンプレートを、ユーザーがセキュリティ・システムに登録された時点で取得されて保存されているユーザーのバイオメトリックのマスターテンプレートとマッチングが試みる。バイオメトリック・コンポーネントのマッチング・アルゴリズムは、ユーザーのバイオメトリックの入力リアルタイム（すなわち即時）表現（すなわち指紋マイクロチップからの入力）から生成されたテンプレートを、セキュリティ保障された記憶装置２５内のＰＤＩに保存されているマスターテンプレートと比較して、セキュリティ・マネージャへ送信するように、比較の結果を含むデジタル署名付きメッセージを出力する。任意の時点において、ポリシ・マネージャ・コンポーネント３２０の求めに応じて、または所定の時間間隔で、ユーザーの入力バイオメトリックから導出された新しいテンプレートを、保存されたテンプレートとリアルタイムに比較することにより、ＰＤＩ１０はユーザーを検証することが可能であり、しかもそのような検証は完全にＰＤＩ１０オンボードで実行される（すなわち自身の機能しか利用しない）ため、使用された保存データは一切外部に流出しない。
【００２８】
ＰＣ１００は、ＢＵ５０から情報を受け取り、次いで中央サーバー（群）３００で動作しているトランザクション・マネージャ・コンポーネント（ＴＭ）３８０と通信するデバイス・マネージャソフトウェア・コンポーネント（ ＤＭ ）１５０を含む。ＢＵ５０が割り当てられた所定の時間ＰＤＩ１０との通信が途切れた場合、ＢＵ５０とＰＤＩ１０の間の会話は終了され、ＴＭ３８０がポリシ・マネージャ・コンポーネント（ＰＭ）３２０に対し、ＰＤＩ１０がもはや所定の検知空間領域内に存在しないことを通知する。ＢＵ５０により新しいＰＤＩ１０が検知されたという通知をＴＭ３８０が受け取ったならば、ＰＣ１００に対し検知されたユーザーに向けてログオン処理に関する状態の情報を表示するよう指示し、適当ならば許可済みユーザーをシステムにログオンするよう促す。ポリシ・マネージャの設定によるが、既存のログイン済みセッションの一部として画面に現在表示されているあらゆる機密情報が自動的に消される。新たに検知されたＰＤＩ装置のユーザーがセキュリティ・マネージャによりバイオメトリック認証されて、そのユーザーが閲覧者としてデータを見る権利を有するとポリシ・マネージャが判定するまで画面は復元されない。
【００２９】
さらに、ＰＤＩが検知された旨を通知されたならば、トランザクション・マネージャ・コンポーネント３８０はＰＣ１００に対し、検知されたユーザーの視覚的識別子、例えばユーザーの名前または好ましくは登録データベースから検索されたユーザーの顔画像を（そのディスプレイ画面上に）表示するよう指示する。これは２段階のセキュリティ・チェックを提供する。第一に、ディスプレイ画面で作業している許可済みユーザーに対し画面の視認可能距離にいる人物全員の身元を表示する、目に見える強烈な通知が与えられ、このことは無許可のデータアクセスからユーザーを保護するのに役立つ（ユーザーは誰か他人が画面に表示された情報を読むために近づいて来た瞬間を直ちに知り、それが誰であるかが正確にわかる）。第二に、画面で作業しているユーザーは、その画面に映る範囲にいる全員の画面イメージが見られるものと予想しており、誰か一人の画像が検知されなかった場合、ユーザーは検知されなかった人のＰＤＩに故障が生じて、充電、修理、または交換が必要であると警告されるであろう。オプションとして、この特徴を用いて建物内の入り口を制御して、ワークステーション監視者（例えばガードマン）に対し人物／ＰＤＩ対がワークステーションを通り過ぎる際にＰＤＩに登録されている人物の画像を瞬間的かつ自動的に表示することができる（セキュリティ保障された状況下では表示された画像とＰＤＩを着用している人物は同じはずである）。同様に、悪意がある人物が、別のユーザーがログオンしている間に、アクセス権限のない情報を見ようと試みた場合、あるいはセキュリティ保障された場所へ変装して侵入しようと試みた場合、その画像が表示されない事実により、その場にいる正規のユーザーは直ちに異変に気づくであろう。
【００３０】
セキュリティ・マネージャ・コンポーネント３４０は、ＰＤＩ１０と登録機関データベース３６０等のネットワーク・セキュリティ・システムの他のコンポーネントとの間で生起するセキュリティ保障処理、また外部アプリケーションとユーザーの間で授受される、検証および／またはデジタル署名を必要とするメッセージを管理する。セキュリティ・マネージャは、デジタル署名を統合するチャレンジ／応答機構を用いてＰＤＩ１０を認証し、それにより以後の行為はすべて認証されたユーザーだけが実行できる。セキュリティ・マネージャはまた、ユーザーへ送信されるあらゆる文書（群）またはトランザクション（群）のメッセージ・ダイジェスト、および全システムイベントの公証ログを生成する（デジタル公証処理は当分野で公知であり、署名済み文書に、日時および信頼できる第三者の署名の両方を付加するために利用される）。それに加え、アプリケーションに依存するが、セキュリティ・マネージャは、ビジネスルールとワークフローを適用してデータベースから抽出したデータの大まかな制御を行なうポリシ・マネージャ・コンポーネント３２０と通信して協議することができる。これは、アプリケーションが異なるユーザー向けに異なるレベルのセキュリティを必要とする場合に生じる。すなわち、例えば機密性の高いデータは限られた人数のユーザーにしか許されない場合のように、異なるユーザーがデータにアクセスする際に階層的な分類に基づいて異なるレベルの認証を受けるような場合である。
【００３１】
セキュリティ・システムは、新規ユーザーを登録する際に構造化された厳密な処理を用いる。新規ユーザーを登録する権限（登録権限）をシステムから与えられている既存ユーザーはネットワークにログインして、登録機関コンポーネント（ＲＡ）３６０のフロントエンドを構成する登録アプリケーションを実行していることが必要である。登録する新規ユーザーを知るユーザー（以下で保証人と呼ぶ）も同じＢＵ５０に居てよい。登録機関データベースは、ユーザーに関する情報、役割（例えば保証人）、および新規ユーザーを登録する権限を含む。ある状況下で、例えば登録権限を有するユーザーは保証人の役割も果たす場合がある。次いで新規ユーザーに関する何らかの基本的な経歴データが入力されるが、それらには恐らく新規ユーザーの名前（群）、住所、生年月日、身元証明に用いる書類の数、および人物の顔画像等システムが取得するように構成され得るその他の任意の固有データが含まれよう。そのように入力されたデータはＰＤＩ１０ではなく、ＲＡデータベースだけに保存される。ユーザーは次いでＰＤＩ装置を手渡され、ＰＣ１００のＢＵ５０によりＰＤＩを取得し、セキュリティ・マネージャを用いてＰＤＩが新規ユーザーに割り当て可能な正常状態にあることを保証するようにチェックする工程を通じてＰＤＩの動作確認が行なわれる。ＰＤＩが正常な状態にあれば、以下のように登録処理が開始される。ＰＤＩ装置は自身のマイクロプロセッサ（群）を用いて、ユーザーのバイオメトリック・テンプレートおよび１個以上の公開鍵と秘密鍵を生成して保存する。ＰＤＩは、整合性のある満足すべき指紋テンプレートが構築されるまで新規ユーザーの指紋を採取し続ける。その結果構築された指紋テンプレートはシステム外のコンポーネントへは一切転送されず、ＰＤＩ装置内のセキュリティ保障された記憶装置に保存される。指紋に関するバイオメトリックは絶対にＰＤＩ装置から流出しない。ＰＤＩ１０は次いで登録アプリケーションにより、１個以上の鍵対を生成し、そのように生成された秘密鍵（群）が常にＰＤＩ１０内に留まって、ＰＤＩ外部へ絶対に転送されないことを指示される。そのように生成された公開鍵は中央サーバー３００へ転送され、ＲＡデータベース３６０に保存される。セキュリティ・マネージャはまた、自身の秘密鍵をセキュリティ保障された記憶装置に保存し、これらの少なくとも１個に対応する公開鍵がＰＤＩへ提供されてＰＤＩのセキュリティ保障された記憶装置に保存される。これらの秘密鍵と公開鍵は以後ＰＤＩとＳＭが用いて、新規ユーザーのＰＤＩと授受するデジタル署名、トランザクション、およびチャレンジの検証および生成を行なう。新規ユーザー登録処理の間、保証人に対し、新規ユーザーを保証したことを証明するデジタル署名を生成するように、保証人のＰＤＩ装置の指紋チップを介して自身の身元を証明するよう求められる場合がある。
【００３２】
本セキュリティ・システムのＰＤＩ群１０は暗号処理により、工場（製品の場所）と利用サイトの間における改ざんに対して（最初の配信中に、または装置保守において生起するイベントに対して）保護されている。新たに製造されたＰＤＩ装置は、受領側セキュリティ・マネージャの公開鍵および最初に発行された秘密鍵を用いてプログラムされる。これらのＰＤＩ装置が受領側へ発送される際に、それらの一意なＩＤ番号のリストが別途安全に受領側へ送信される。新規ユーザーの登録処理の間、ＰＤＩは最初に発行された秘密鍵（それに対応する公開鍵をセキュリティ・マネージャが有する）を用いて、セキュリティ・マネージャに対し自身を認証し、セキュリティ・マネージャは自身の秘密鍵を用いてＰＤＩに対し自身を認証する。さらに、ＰＤＩ装置の一意なＩＤ番号がセキュリティ・マネージャへ送信され、工場から受領したＰＤＩ装置ＩＤ番号のリストとマッチングされる。このプロトコルにより、偽造装置の製造が防止され、工場における保守の後で受領者に返却されたＰＤＩ装置には同じプロトコルが用いられる。
【００３３】
ログオンその他の権限は、所与のネットワーク・ドメイン上で、そのネットワーク・ドメインに関連付けられた登録機関により登録されたＰＤＩ群だけが利用可能である。しかし各ＰＤＩ１０は一意なＩＤ番号も有するため、最初の登録に利用された特定の登録機関によらずセキュリティ・マネージャに認識される。従って、ＰＤＩのＩＤ番号がグローバルである特性により、異なる登録機関のデータベースを共有することにより異なるセキュリティ・システム（すなわち異なる登録機関の下で動作しているシステム）の統合が可能である。
【００３４】
セキュリティ・システムがログオン・アクセス用にＰＤＩの取得（すなわちＰＤＩ１０が範囲内にあることをＢＵ５０が検知）および後続する検証の最中に実行する工程を図４（ａ）〜４（ｃ）のフローチャートに示す。ＢＵは検知空間領域内にあるＰＣ１００／ＢＵ５０を取り巻くすべてのポイントへ定常ＩＲ信号を送信する。ＰＤＩが空間領域に入った瞬間にＢＵのＩＲ信号を受信して、直ちにＢＵによる取得を開始してＢＵに応答する。ＢＵは次いでＰＤＩをポーリングループに加える。ＰＤＩがシステムに登録済みか否にかかわらず、範囲内にあるＰＤＩはどのＢＵでも取得される。取得工程は低処理レベルで実施され、ＰＤＩを監視するためにＢＵは新しいＰＤＩ装置をポーリングループに加えて、ＰＤＩの一意なＩＤ番号を識別して問い合わせる中央セキュリティ・マネージャへメッセージを送る。ＰＤＩがシステムに登録済みの装置であって、ユーザーがログオン権限を有し、ＰＣ１００（ワークステーション）にログオンしている者がいない場合、ユーザーはＰＣ１００にログオンするよう促される。ＰＤＩがシステムに登録済みの装置であるが、他人が既にＰＣ１００にログオンしている場合、あらゆる機密情報が（ポリシ・マネージャが決定したように）直ちに消去され、検知されたＰＤＩに関連付けられたユーザーの可視識別子がＰＣ１００に表示される。この新規ユーザーが現在ログインしているセッションに関連付けられたデータを閲覧する権限に応じて、新規ユーザーは次いで自身をバイオメトリック認証して閲覧者として留まることを許される。これは残りの正常ログオンと同じ処理を介して生起するが、最後の工程ではＴＭが閲覧者の存在を記録し、ネットワーク・アプリケーションまたはＰＣ１００に対してユーザーをログオンさせるのではなく、画面の復元を求める点が異なる。ログオンを試みたり、または閲覧者になろうと試みるユーザーにとって次の工程は、無作為に選ばれた情報を中に含んでおりＳＭが自身の秘密鍵で署名するチャレンジ・メッセージをＳＭが用意することである。このメッセージは次いでＰＤＩ装置へ転送される。ユーザーは、指を指紋チップの上に置いて自身の身元を証明することによりログオン（オプションとして自身の名前を含む）するよう画面ディスプレイに促される。ＰＤＩ装置は最初に、ＰＤＩ装置に保存されているＳＭの公開鍵を用いてメッセージのデジタル署名を検証することにより、正当なＳＭ処理からメッセージを受信したことを確認する。次いでユーザーの指紋が取得されてテンプレートが抽出され、装置に保存されているテンプレートと比較される。合致した場合、チャレンジを含みかつユーザーがバイオメトリック認証されたことを確認するメッセージがＳＭへ返送される。このメッセージは、ＰＤＩ装置により、ボードに保存されている自身の秘密鍵を用いてデジタル署名される。確認メッセージは、ＰＤＩ装置の公開鍵を用いてＳＭにより認証される。公開鍵は登録機関に保存されおり、チャレンジが正しく返送されたことを保証するようにチェックされる。これによりあらゆる再生攻撃から保護される。ＰＤＩ装置がシングルサインオン（ＳＳＯ）処理の認証手段として用いられている場合、ネットワークのＰＣ１００はログオン・アクセスが許されており、ＴＭ３８０は次いでＰＣ１００のログオン・コンポーネントへメッセージを送信して、ユーザーのログオンを要請する。
【００３５】
ＰＣ１００のユーザーが既にＰＣ１００にログオンしており、特定のネットワークベースのアプリケーションまたはアプリケーション群へのアクセスを望む場合、ＴＭ３８０はＳＭを介して、アプリケーション（群）を実行するセキュリティ保障されたサーバーと相互に認証し合い、同サーバーにユーザーがログイン中であることを通知する。例えば、医療分野において、ＣＣＯＷ（診療コンテキスト・オブジェクト作業部会）と呼ばれるＰＣ上のコンテキスト管理の標準が確立されつつあり、複数ログオンの共有を許す。ＴＭ３８０は次いでＣＣＯＷ対応アプリケーションと対話して、登録機関３６０データベースから得られたユーザーの役割と権限に関する情報を用いて、ポリシ・マネージャ３２０により適切であると判断されたアプリケーションおよびデータのサブセットだけがユーザーからアクセス可能にする。一般に、セキュリティ・マネージャ３４０はポリシ・マネージャ３２０と共に、ユーザーがログイン中のすべてのセッションを通じて、すべてのネットワーク・アプリケーションとデータに対するセキュリティ・フィルターの役割を果たす。
【００３６】
ＰＤＩが欠落しているか、盗まれているとセキュリティ・システムに記録されている場合がある。この状況で、ＰＤＩが取得されたならばＳＭはＰＤＩを検証し、その結果ＰＤＩが欠落している旨を記載することが決定される。ＰＤＩを取得したＢＵはセキュリティ・マネージャに知られており、さらに、セキュリティ・マネージャはそのＢＵの場所、およびＰＤＩがＢＵに近接していることの両方を知っている。ＰＤＩの場所を識別するこの情報は次いで、欠落しているＰＤＩが回収されるよう、また万一盗まれていた場合は犯人を捕捉できるように、指定されたユーザー（アドミニストレータまたはセキュリティ調整者等）へ送信される。
【００３７】
ログオンに引き続きユーザーがログイン中であるセッションの間、ＰＤＩ装置とベースユニットは周期的に通信してＰＤＩが依然として検知空間領域内にあることを確認するが、このやり取りは、別の（無許可の）装置が通信ストリームにメッセージを挿入しようとするいかなる試みもベースユニットが検知できることを保証する暗号通信を含む。ユーザーのＰＤＩが第一の所定時間だけＢＵとの通信を中断した場合、例えばユーザーが何かを取りに行くためにワークステーションから離れた場合、ＤＭはワークステーションに指示して、無許可の人物が正規のユーザーになりすましてアプリケーションを使い続けることが絶対にできないように所定のログオフ処理を実行させる。これは一時的な自動ログオフであってよく、ユーザーのＰＤＩが短い第二の所定の時間内に再び検知されたならば、ＢＵがユーザーのＰＤＩと通信できなくなった時点でユーザーが実行中であったアプリケーションの動作の再開をＤＭが指示する。オプションとして、システムはユーザーに対し、ログインしているセッションの最中にＰＤＩと共にいることを再度バイオメトリック検証することを求めるよう設定されていてよく、これは特定のデータまたはアプリケーションへのユーザーのアクセスに基づいて無作為に、または経過時間に応じて、あるいはポリシ・マネージャ３２０の決定により起動されてよい。これによりログイン中のセッションの全期間を通じてユーザーがＰＤＩと物理的に共存していることが保証される。
【００３８】
取得／検証処理において、図４（ａ）〜４（ｃ）のフローチャートに示すように、ユーザーのバイオメトリック認証と、ＰＤＩ、ユーザーおよびセキュリティ・マネージャの暗号検証の間で、システムは空間と時間の両面で密接な関係を確立することにより、正規のユーザーが自身に割り当てられたＰＤＩを所持しており、セキュリティ・マネージャと正常に通信していることを確固たるものにする。ユーザーの身元は、本明細書で述べるように、保存されているバイオメトリック・テンプレートをライブ・バイオメトリック・トランスデューサ（例えば指紋マイクロチップ）から生成されたバイオメトリック・テンプレートと比較することによりリアルタイムにＰＤＩオンボードで検証されるが、両方ともこの処理を通じてＰＤＩ内に保持される。ＰＤＩとセキュリティ・マネージャは、チャレンジ／応答プロトコルに従って授受されたデジタル署名を用いて各々互いを検証し、セキュリティ・マネージャはあらゆる所与の文書／トランザクション署名について、デジタル署名されたメッセージによりＰＤＩからリアルタイムでユーザーの身元を通知される。
【００３９】
アプリケーションを利用する過程で、ユーザーが文書その他の形式のトランザクション（例えば薬の処方箋）にデジタル署名することを求められる場合がある。文書／トランザクション用のデジタル署名を生成するようにシステムが実行する工程を図５（ａ）および５（ｂ）のフローチャートに示す。署名処理はアプリケーションが要求し、署名対象文書／トランザクションがＳＭに転送される。ＳＭは送信元と宛先アドレス、文書／トランザクションのメッセージ・ダイジェスト、タイムスタンプとランダムデータを含むメッセージを生成する。このメッセージは次いでデジタル署名され、ＰＤＩ装置へ転送される。
【００４０】
ＰＤＩ装置は最初にＳＭの署名を検証し、これにより別の処理がＰＤＩ装置の署名要求を行なったり、またはメッセージ・ダイジェストが改ざんされたり置き換えられる可能性を防止する。署名要求がユーザーの身元確認の要求を含んでいる場合、ユーザーに対して積極的に文書またはトランザクションにデジタル署名するよう要求することはアプリケーションの責任である。次いでユーザーは指紋チップに指を置かなければならない。次いでＰＤＩ装置はユーザーが指を装置に置くのを待つ。指が置かれたことを検知したならば、その画像を取得して処理し、保存されているテンプレートと比較する。テンプレートが提示された指紋と合致した場合、送信元と宛先アドレス、オリジナル文書／トランザクションのメッセージ・ダイジェストおよびランダムデータを含むメッセージが作られる。このメッセージは次いでデジタル署名されてＢＵへ送られ、そこからＳＭへ転送される。指紋がテンプレートに合致しない場合、ユーザーには何度か再試行が許されるが、その後は合致しなかった旨を記したメッセージがＳＭへに送られる。ＳＭはＰＤＩ装置の一意なＩＤを用いてＰＤＩ装置の公開鍵を探し、この情報を用いてメッセージを検証する。この時点で、認証要求しているアプリケーションへ身元認証の結果が渡され、必要ならばデジタル署名されたメッセージのコピーがセキュリティ保障された公証サービス機関へ送られる。
【００４１】
デジタル署名を用いて、基本的な文書／トランザクションのデータが事後に変更されていないことを保証することができる。身元のバイオメトリック検証を含めて、上述の処理の特性により、ユーザーが署名を否認しようとしても一切応じない機能も可能である。
【００４２】
本セキュリティ・システムは、特定のネットワーク・アクセスポイントにおけるユーザーの存在をリアルタイムかつ能動的に認証し、ネットワーク・アクセスポイントと選択されたネットワークサーバーの間のセキュリティ保障された暗号化経路を設定および監視する。さらに、デジタル署名を集めるための信頼できる手段を提供する。
【００４３】
上述の好適な実施形態で利用されている個々の電子的および処理機能は、それぞれ、当業者に理解できよう。当業者により他のさまざなま実装が代替手段として考案され得ることを理解されたい。電子セキュリティ・システムおよび通信設計の分野に精通する者であれば容易に、所与の用途において本発明を適切な実装方法に適用することが可能である。
【００４４】
従って、本明細書で図面により表示および記載された特定の実施形態は、添付の請求の範囲により規定された、本発明者が主張する発明の範囲を限定する意図はない点を理解されたい。
【図面の簡単な説明】
【図１】
自身へのアクセスを制御することにより通信ネットワークのセキュリティを保障する、本発明のシステムの一般的なブロック図である。
【図２】
本発明による個人デジタルの識別装置（ＰＤＩ）のコンポーネントを示す模式的ブロック図であり、１人のユーザーがセキュリティ保障された場所からネットワークへアクセス場合にＰＤＩが再充電装置ホルダー（クレイドル）に置かれている。
【図３】
本発明のセキュリティ・システムのベースユニット（ＢＵ）のコンポーネントを示すブロック図である。
【図４（ａ）】
本発明によるユーザー取得およびログオン処理を示すフローチャートである。
【図４（ｂ）】
本発明によるユーザー取得およびログオン処理を示すフローチャートである。
【図４（ｃ）】
本発明によるユーザー取得およびログオン処理を示すフローチャートである。
【図５（ａ）】
本発明の好適な実施形態のセキュリティ・システムによりデジタル署名を生成する際に行なわれる処理を示すフローチャートである。
【図５（ｂ）】
本発明の好適な実施形態のセキュリティ・システムによりデジタル署名を生成する際に行なわれる処理を示すフローチャートである。
【図１】
2004518229.tif 000003
【図２】
2004518229.tif 000004
【図３】
2004518229.tif 000005
【図４Ａ】
2004518229.tif 000006
【図４Ｂ】
2004518229.tif 000007
【図４Ｃ】
2004518229.tif 000008
【図５Ａ】
2004518229.tif 000009
【図５Ｂ】
2004518229.tif 000010
【国際公開パンフレット】
2004518229.tif 000011
2004518229.tif 000012
2004518229.tif 000013
2004518229.tif 000014
2004518229.tif 000015
2004518229.tif 000016
2004518229.tif 000017
2004518229.tif 000018
2004518229.tif 000019
2004518229.tif 000020
2004518229.tif 000021
2004518229.tif 000022
2004518229.tif 000023
2004518229.tif 000024
2004518229.tif 000025
2004518229.tif 000026
2004518229.tif 000027
2004518229.tif 000028
2004518229.tif 000029
2004518229.tif 000030
2004518229.tif 000031
2004518229.tif 000032
2004518229.tif 000033
2004518229.tif 000034
2004518229.tif 000035
2004518229.tif 000036
2004518229.tif 000037
2004518229.tif 000038
2004518229.tif 000039
2004518229.tif 000040
2004518229.tif 000041
2004518229.tif 000042
2004518229.tif 000043
2004518229.tif 000044
2004518229.tif 000045
【国際公開パンフレット（コレクトバージョン）】
2004518229.tif 000046
2004518229.tif 000047
【国際調査報告】
2004518229.tif 000048
2004518229.tif 000049