(57)【特許請求の範囲】
【請求項１】
通信媒体としてウェブ雲を使用する生体測定認証システムにおいて、
前記ウェブ雲にリンクされた少なくとも１つのウェブクライアント局であって、該ウェブクライアント局を使用している個人の生体特性に関する選択された生データを提供するウェブクライアント局と、
前記ウェブ雲にリンクされた少なくとも１つのウェブサーバ局であって、前記ウェブ雲を介しての該ウェブサーバ局へのアクセスが、前記個人により前記ウェブクライアント局を使用して求められると共に該個人の認証に依存するようにしたウェブサーバ局と、
前記ウェブクライアント局及び前記ウェブサーバ局のうちの少なくとも１つにリンクされて前記生データを受信する認証確認センタであって、この認証確認センタは、１以上の登録された個人の生体データの記録を有すると共に前記生データを選択された記録と比較し、該比較により、アクセスを求める前記個人を認証するだけ充分に前記生データが前記選択された記録と合致するか否かを判断するようにするとともに、認証が失敗した場合に、受信した生データの選択した詳細と前記比較の結果とを記録して生体監査証跡を形成するようにし、前記認証確認センタが前記受信した生データの選択した詳細と複数の記録とを比較し、この比較により、ウェブサーバ局の不認可アクセスを求めている個人を識別するのに充分に、比較したこの選択した詳細が比較した記録のうちの何れか１つ以上と一致するかどうかを決定するようにする当該認証確認センタと
を有することを特徴とする生体測定認証システム。
【請求項２】
請求項１に記載の生体測定認証システムにおいて、個人の生体特性に関する選択した生データを、認証で使用すべき選択した生体特性と関連するパラメータに応じて収集するようにしたことを特徴とする生体測定認証システム。
【請求項３】
請求項１に記載の生体測定認証システムにおいて、前記ウェブクライアント局及び前記ウェブサーバ局がウェブ接続部を介して前記ウェブ雲にリンクされ、該ウェブ接続部が安全保護伝送プロトコルをサポートしていることを特徴とする生体測定認証システム。
【請求項４】
請求項１に記載の生体測定認証システムにおいて、前記ウェブクライアント局の１以上がウェブクライアントと生体測定Ｉ／Ｏ装置とを有し、この生体測定Ｉ／Ｏ装置は前記個人の生体特性及びウェブクライアントに関するデータを収集し、前記ウェブクライアントは前記収集されたデータ又は該収集されたデータを表すデータを受信するために前記生体測定Ｉ／Ｏ装置にリンクされていることを特徴とする生体測定認証システム。
【請求項５】
請求項４に記載の生体測定認証システムにおいて、前記ウェブクライアントはインターフェース機構を有し、該インターフェース機構は１以上の生体特性に関連付けられると共に前記生体測定Ｉ／Ｏ装置を生体認証に関連付けられた１以上のパラメータに基づいて制御し、前記パラメータが前記ウェブサーバ局、前記認証確認センタ及び前記ウェブクライアント局のうちの少なくとも１つから供給されるようになっていることを特徴とする生体測定認証システム。
【請求項６】
請求項５に記載の生体測定認証システムにおいて、前記ウェブクライアント及び前記インターフェース機構の何れか一方又は両方が、各々、ソフトウェアプログラムを有し、該ソフトウェアプログラムが破壊型又は非破壊型の何れかの組み合わせであることを特徴とする生体測定認証システム。
【請求項７】
ウェブクライアント局を使用している個人のウェブ型生体測定認証方法であって、前記個人がウェブサーバ局のアクセスを求めるような方法において、
前記ウェブクライアント局において、ウェブクライアント局を用いて個人の生体データを収集するステップと、
認証確認センタにおいて、生データを含むメッセージを受信するステップと、
前記認証確認センタにおいて、１以上の登録された個人に関連付けられた記録の中から１以上の記録を選択するステップと、
生データと選択された記録とを比較し、該比較によりこの比較された生データが、アクセスを求める前記個人を認証するのに充分前記選択された記録に合致するか否かを決定するステップと、
個人が認証を失敗した場合に、
受信したメッセージの選択した詳細と前記比較ステップの結果とを記録して生体監査証跡を形成するようにし、且つ受信したメッセージの選択した詳細を用いるとともに、前記選択した詳細と複数の記録とを比較し、この比較により、ウェブサーバ局の不認可アクセスを求めている個人を識別するのに充分に、この比較したこの選択した詳細がこの比較した記録のうちの何れか１つ以上と一致するかどうかを決定するステップと
を有することを特徴とする個人のウェブ型生体測定認証方法。
【請求項８】
請求項７に記載のウェブ型生体測定認証方法において、この方法が更に、認証で使用すべき選択した生体特性と関連するパラメータを確立するステップを有し、ウェブクライアント局における生体データの収集が、確立されたパラメータに応じて行われるようにすることを特徴とするウェブ型生体測定認証方法。
【請求項９】
請求項７に記載のウェブ型生体測定認証方法において、この方法が更に、前記認証確認センタから前記比較するステップの結果に関する応答を供給するステップを有し、該供給するステップが、
（Ａ）前記応答を準備するステップであって、
（ｉ）デジタル証明を準備するステップと、
（ii）１以上のアプリケーションサーバに関連付けられたアクセス可能なページへの電子リンクを有するページを準備するステップと、
（iii）生体データベースへの適切なエントリを準備するステップと、
（iv）安全保護プロトコルメッセージを準備するステップと
のうちの１つ以上を含む当該応答を準備するステップと、
（Ｂ）前記応答を実行するステップであって、
（ｉ）前記応答を前記ウェブサーバ局にダウンロードするステップと、
（ii）前記応答を前記ウェブクライアント局を介して前記ウェブサーバ局に送るステップと、
（iii）選択された生体データベースへの適切なエントリを作成するステップと、
（iv）前記応答を前記ウェブクライアント局にダウンロードするステップと、
（V）前記応答を前記ウェブサーバ局を介して前記ウェブクライアント局に送るステップと
のうちの１つ以上を含む当該応答を実行するステップと、
を有することを特徴とするウェブ型生体測定認証方法。
【請求項１０】
請求項７に記載のウェブ型生体測定認証方法において、この方法が更に、前記ウェブクライアント局、前記ウェブサーバ局及び前記認証確認センタ内又は間に、安全保護通信チャンネルを確立するステップを有していることを特徴とするウェブ型生体測定認証方法。
【請求項１１】
請求項１０に記載のウェブ型生体測定認証方法において、前記安全保護通信チャンネルを確立するステップが、
（Ａ）前記ウェブクライアント局においてウェブクライアントを使用すると共に前記ウェブサーバ局においてウェブサーバを使用し、前記ウェブクライアント及び前記ウェブサーバが前記ウェブクライアント局と前記ウェブサーバ局との間に安全保護通信チャンネルを確立するステップと、
（Ｂ）前記ウェブクライアント局においてインターフェース機構を使用すると共に前記認証確認センタにおいて認可サーバを使用し、前記インターフェース機構及び前記認可サーバが前記ウェブクライアント局と前記認証確認センタとの間に安全保護通信チャンネルを確立するステップと
を有していることを特徴とするウェブ型生体測定認証方法。
【請求項１２】
請求項７に記載のウェブ型生体測定認証方法において、
前記収集するステップが、１以上の生体特性に関する複数の収集を有し、
前記パラメータを確立するステップが更に、
（ｉ）サポートされる信頼度レベルの中から信頼度レベルを選択し、前記サポートされる信頼度レベルを、認証に関し、単一の生体特性及び組み合わせた生体特性に関連する生体データを用いることに基づいて分類するステップと、
（ii）生体データの収集を生じさせる起動事象を選択するステップと
のうちの少なくとも１つを有していることを特徴とするウェブ型生体測定認証方法。
【発明の詳細な説明】
技術分野
本発明は、生体測定認証システムに係り、特に全世界的ウェブ（World Wide Web）を利用したやり取りに関わる個人の生体測定認証のためのシステム及び方法に関する。
背景技術
広く言うと、全世界的ウェブ（以下“ウェブ”という）は動的に接続された情報の世界を提供する分散された電子データベースサービスであり、斯かる情報は種々の媒体の何れかのものであって、該情報世界（ウェブ空間）を探査（サーフィン）する個人により比較的容易に見付けられ及びアクセスすることができる。もっと特定的には、ウェブはハイパー媒体文書、ウェブサーバ及びウェブクライアントを有する分散されたハイパーテキストシステムである。ウェブクライアントは、通常ブラウザとして知られているソフトウェアプログラムを含む。ブラウザは典型的には個人のパーソナルコンピュータ上に存在し、なかでも、ウェブを探査してウェブ文書を見付け又はそれらにアクセスする。
ウェブサーバは、例えばハイパーテキスト伝送プロトコル（ＨＴＴＰ）等の１以上の標準プロトコルと互換性を持たせることを含む種々の機能を支援するプログラムであり、上記ＨＴＴＰはその情報を概ね統合するウェブの固有のプロトコルである。ウェブサーバは、ウェブ上にハイパー媒体文書を載せ、他には、当該サーバに関連する資源をウェブクライアントが利用できるようにする。ウェブサーバは、文書及び資源をウェブクライアントにアクセス可能にするのみならず、クライアントの各入力に応答してクライアントに対し特定の文書を送ると共にやり取り（transaction）を完了する。ウェブサーバは、分散されると共に相互接続されていて、ウェブに分散された特徴を与えている。
ウェブ文書（ページ）は、例えばハイパーテキストマークアップ言語（ＨＴＭＬ）等の種々の受け入れられているフォーマット又は言語の１つに準拠して構成される。これらのフォーマットは、なかでも、ウェブのハイパー媒体及びハイパーテキスト特性をサポートしている。ハイパー媒体特性に関していうと、ウェブ文書は、テキスト、グラフィックス、オーディオ及びビデオを含む種々の媒体の１以上からの内容を合成することができ、通常そのようにする。ハイパーテキスト特性に関していうと、ウェブ文書は、関係するウェブ文書への電子的リンクを含むことができ、通常そのようにする。該リンクの選択により、ブラウザは（ｉ）当該リンクに関連するウェブサーバへ接続し、（ii）リンクされた文書を要求し、及び（iii）当該ウェブクライアントがサーバの安全保護要件を満たすなら該文書を受信し且つ表示する。
どのように述べても、ウェブは急速に受け入れられており且つ育っている。このウェブの成長は、過去２〜３年の間にサービスを開始したウェブサーバの数により反映されており、１９９３年６月では１３０の公開サービス、１９９４年１１月には大凡９０００の公開サービス、１９９５年２月には２７０００を越える公開サービスとなっている。現在のサーバの数は、もっと多くなっている。ウェブの受け入れは、政府、会社、商業、教育、公共、その他に拘わらず団体の間での利用により反映されている。その受け入れ及び成長は、ウェブをして人々が情報を作成し、アクセスし及び使用する方法を変形させ、これがウェブをして団体自体を変化させている。
ウェブ情報及びやり取りの安全保護が重要な問題として認識されている。斯かる問題の中心には所謂クラッカがいる。即ち、ウェブサーバのようなコンピュータにアクセスして、いたずらをし、破壊し、スパイをし又は他の違法な行為をしようとする個人である。ウェブの安全保護機能は、これらの行為に応答し、なかでも、サーバ上に常駐する及びウェブやり取り内で通信される場合の両方で、情報の秘密性及び完全さを維持しようとする。クラッカに対しての弱さが増加しているのは、ウェブが容易に利用可能且つ購入可能な技術を有する誰にでも利用可能な解放システムであるという点である。
１つの重要なウェブの安全保護上の問題は認証確認である。認証確認は種々の形態をとるが、個人の認証確認は特に望ましいものである。この認証確認は、ウェブサーバに又はウェブサーバを経てアクセスしようとする個人が、実際に、そうだと主張する個人であって偽者でないことを検証するものである。この認証確認は、検証が所定の最小レベルの信頼性で又はそれ以上でもってなされることを頼りとしている。同時に、認証確認は、通常、個人がサーバとウェブやり取り行うために越えなければならない早い段階のハードルである（典型的には、個人はシステムの情報、サービス及び他の資源へのアクセスを調停する他の対策も受ける）。
個人を認証確認する伝統的な方法は、秘密パスワードに依存している。パスワードのみの認証確認は完全にソフトウェアにより実施することができるという利点を有している。しかしながら、パスワードのみの認証確認は多くの欠点も有している。第１に、パスワードは面倒である。例えば、パスワードの有効性は、なかでも、長さを増加させ、組み合わせを調整し、及び頻繁に変えることにより向上させることができる。しかしながら、パスワードの有効性を向上させる斯かるテクニックを用いると、パスワードの面倒さが益々増大する。
第２に、パスワードは失念し、紛失し、盗まれ、さもなくば危うくされる可能性がある。書き記されたパスワードは容易に盗まれることがある。また、パスワードは、キーボード上でのパスワードの入力をクラッカにより見られることを含み、種々の策略によりクラッカに対して不注意に開示されてしまう可能性がある。また、パスワードは例えば無理矢理の試行錯誤により不法に発見されてしまう可能性もある。更に、パスワードはウェブクライアントから所望のサーバへ伝送される間に盗聴される可能性がある。また、パスワードは、送信されたパスワードを検証するために通常保持されているサーバの登録パスワードファイルへのアクセスを成功したクラッカにより汚される可能性がある。
少なくとも上述した理由により、パスワードのみの認証確認は充分な安全保護を提供することはできない。同時に、ウェブ型アプリケーションは、向上された安全保護により利益をうけることができるような分野に広がっている。このようなウェブ型アプリケーションの例は、商取引（例えば、商品の売買）、銀行取引（例えば、電子資金の転送）、医療的やり取り（例えば、緊急時の医療記録の提供）を含む。
従って、改善されたウェブ用安全保護手段、及びこのような対策を実施するための方法の要求が存在する。更に、改善されたウェブ用の認証確認システム及び方法の要求が存在する。
発明の開示
本発明の１つの目的は、改善されたウェブ型安全保護手段及びそのような手段を実施する方法を提供し、並びに改善されたウェブ型認証確認システム及び方法を提供することにある。
本発明の１つの特徴によれば、ウェブ雲（クラウド）を通信媒体として使用するようなウェブ型認証確認システムが提供される。一実施例によれば、上記システムは少なくとも１つのウェブクライアント局と、少なくとも１つのウェブサーバ局と、認証確認センタとを有している。ウェブ雲を介してのウェブサーバ局の（即ち、への又はを経る）アクセスが個人によりウェブクライアント局を使用して求められ、このアクセスは該個人の認証確認に依存するようにされる。上記ウェブクライアント局は、ウェブ雲にリンクされ、当該ウェブクライアント局を使用している個人の生体特性に関する選択された生体データを提供する。また、上記ウェブサーバ局もウェブ雲にリンクされている。上記認証確認センタは、ウェブクライアント局及びウェブサーバ局のうちの少なくとも１つにリンクされて、ウェブクライアント局により供給される生体データを受信する。また、１以上の登録された個人の生体データの記録を有する認証確認センタは、供給されたデータを選択された記録と比較する。この比較は、認証確認するだけ上記の供給されたデータが上記選択された記録と充分に合致するか否かを判断するためのものである。
また、本発明の他の特徴によれば、ウェブクライアント局を使用している個人のウェブ型生体測定認証方法であって、これら個人がウェブサーバ局の（即ち、への又はを経る）アクセスを求めるような方法が提供される。該方法の一実施例は、（ｉ）認証確認において使用されるべき選ばれた生体特性に関連付けられたパラメータを確立し、（ii）ウェブクライアント局において、上記パラメータに従って生体データを収集し、（iii）認証確認センタにおいて、生体データを含むメッセージを受信し、（iv）上記認証確認センタにおいて、１以上の登録された個人に関連付けられた記録の中から１以上の記録を選択し、及び（ｖ）受信された生体データと選択された記録とを比較し、該比較により上記の比較された生体データが、認証確認するほど上記選択された記録に充分に合致するか否かを決定する、ような各ステップを有する。
本発明を特徴付ける新規な特徴は、本明細書の一部をなす添付の請求の範囲で特に指摘されている。本発明、本発明の作用効果及び本発明により達成される特別な目的をよりよく理解するためには、本発明の好ましい実施例を図示し及び記述した添付図面及び記載内容を参照されたい。尚、これら図面及び記載において、同一及び同様の部分には同様の符号を付してある。
発明を実施するための最良の形態
本発明は、ウェブ型生体測定認証システム及び方法を意図する。生体測定認証は、個人の主張された識別情報を概ね自動化方法論的に検証するために、生体特性のデータを収集することに依存する。ウェブ型認証確認は、ウェブを運搬手段として導入する。
生体データを用いる認証確認は、斯かる特性が（ｉ）個人毎に比較的特有のものであり、（ii）変化せず、（iii）忘れられたり、失われたり、盗まれたり、又は危うくされたりすることがない、という事実を利用している。加えて、生体データを用いた非ウェブ型認証確認は、かなりの歴史を有し、従って我々の社会に比較的良く受け入れられている。
ここで述べる生体データを用いた認証確認は、個人が実際にそうであると主張する者であることの検証用のものである。広く述べれば、検証は、通常、個人の送られたデータ又は該データを表すデータ（以下、“生データ”とも呼ぶ）を該個人がそうであると主張する者に関連する記憶された生体測定認証データ（以下、“記録”とも呼ぶ）と比較する。
しかしながら、ここで述べるシステム及び方法は、本発明の原理から逸脱することなく、個人の識別にも向けられたものであると理解されたい。検証に較べると、生体識別は、通常、生データを記録の全データベースと比較して一致が存在するかを判定し、もしそうなら、この一致する記録に関連する者の識別情報を返送する。生体識別は種々の応用例に使用することができ、これら応用例は、例えば、医療処置を必要とする意識不明な個人を識別し、及びサーバ又は認証確認システム自体を破ろうとし又は以前に破ろうとしたクラッカを識別する（例えば、生データを登録された者と照合し、又は新たな登録者を以前のクラッカ攻撃の記録と照合することにより）ことを含む。
認証確認システム
第１図に示すように、本発明によるウェブ型生体測定認証システム１０は、ウェブ雲（Web cloud）１２と、１以上のウェブクライアント局１４と、１以上のウェブサーバ局２０と、ウェブ接続部２２と、認証確認センタ２４と、１以上の認証確認センタ接続部２６とを有している。当該システム１０の上記各要素は論理的装置として示されているが、当業者であれば上記の各々が物理的装置に各々関連していると容易に理解するであろう。例えば、（ｉ）局１４及び２０は典型的には、物理的装置のなかでも特にＰＣ及びサーバのようなコンピュータに関連し、（ii）接続部２２及び２６は典型的には、物理的装置のなかでも特にワイヤ、ケーブル、光ファイバ、無線信号又は他の物理的接続に関連し、（iii）ウェブ雲１２は典型的には、物理的装置のなかでも特にルータ、ブリッジ、コンピュータ、インターネット、イントラネット、エクストラネット及び他の物理的ネットワークのようなネットワーク構成要素に関連する。
ウェブ雲１２は、ウェブクライアント及びウェブサーバの間でのウェブやり取りのための、ウェブの標準プロトコル（例えば、ＨＴＴＰ）に基づく及び斯かるプロトコルをサポートする一般化された通信媒体を表している。該ウェブ雲は、公私にわたる何百もの雑誌及び新聞記事のウェブ、或いは他の如何なるウェブの何れをも表している。
ウェブ接続部２２はウェブクライアント局１４の各々を介在されたウェブ雲１２を介してウェブサーバ局２０にリンクし、これらの間にウェブ通信を確立する。これらウェブ接続部２２は、好ましくは、ＨＴＴＰ及び安全保護伝送プロトコルをサポートするものとする。この安全保護伝送プロトコルとは、好ましくは、安全保護ソケットレイヤ（Secure Sockets Layer;ＳＳＬ）であるものとする。ＳＳＬはカリフォルニア州マウンテンビューのネットスケープコーポレーション（Netscape）により提供される公開された所有権非主張プロトコルである。ＳＳＬはウェブクライアント及びウェブサーバによる使用のために設計されており、データ暗号化、サーバ認証確認、メッセージの安全性及び、任意選択的に、ユーザ証明を提供する。データ暗号化に関しては、ＳＳＬは、クライアントとサーバが公開キーアルゴリズム（例えば、ＲＡＳ）のような暗号化アルゴリズムを取り決め、暗号を用いて安全に通信することを可能にする。
上述した説明にも拘わらず、伝送安全保護をサポートし且つシステム１０の全体の動作を維持する限りにおいて、本発明の原理から逸脱しない範囲において他のプロトコルを使用することもできると理解されたい。一例は、ＯＭＧ（オブジェクト管理グループ）、即ち配布されたオブジェクトの計算相互運用性を規定する４７００のコンピュータ及び通信販売者の規格グループ、により規定された規格である、ＣＯＢＲＡ（Collaborative Object Broker Request Architecture）のＩＩＯＰ（Internet Inter-ORB Protocol）である。
認証確認センタ接続部２６は、好ましくは、認証確認センタ２４をウェブ雲１２にリンクし、該センタ２４と各局１４、２０との間の通信を確立するものとする。認証確認センタ接続部２６は、ＳＳＬのような安全保護伝送プロトコルをサポートし安全なチャンネルを提供する。また、認証確認センタ接続部２６は、例えばＨＴＴＰのような標準プロトコルもサポートすることができる。もっとも、当該システムは斯かるサポートがなくても構成することができると理解されたい。
認証確認センタ接続部２６は、第１図においては、上記リンクがウェブ雲１２を必ずしも介さなくてもよいことを示すように描かれている。例えば、該リンクは認証確認センタ２４と、ウェブクライアント局１４及び／又はウェブサーバ局２０の１以上との間で直接行うこともできる。ウェブ雲リンクの場合は、ウェブクライアント局１４及びウェブサーバ局２０の両方に関するウェブの拡張縮小可能性の点で有利である。直接リンクの場合は、当該システム１０は、このようなリンクに通常対応する高い安全保護の点で有利である。加えて、上記リンクは直接及びウェブ雲経由の両方ででもよく、斯かる組み合わせによれば、典型的には僅かな追加費用で上述した各利点が冗長されるという利点が得られる。尚、各々の場合が本発明の原理の範囲内で意図されていると理解されたい。
第２図を参照すると、第１図からの一例のウェブクライアント局１４が一層詳細に示されている。該ウェブクライアント局１４は１以上の生体測定Ｉ／Ｏ装置１６と、１以上の非生体測定Ｉ／Ｏ装置１８と、ウェブクライアント１７とを有している。装置１６及び１８の各々は、ウェブクライアント１７にリンクされている。加えて、当該ウェブクライアント局１４はウェブクライアント１７において、接続部２２を介してウェブ雲１２にリンクされている。
ウェブクライアント１７は、好ましくは、ネットスケープナビゲータなる商品名のブラウザのような既知のブラウザプログラムの何れかを有するものとする。ブラウザプログラムが好ましいが、当該システム１０と互換性があり、且つ、以下に述べるようにクライアント局１４に関連する認証確認方法のステップを実行することができる限りにおいて、本発明の原理を逸脱しない範囲で他のウェブクライアントを使用することもできると理解されたい。また、ウェブクライアント１７の形式は、本発明の原理から逸脱しない範囲で、各ウェブクライアント局１４の間で変化してもよいと理解されたい。
非生体測定Ｉ／Ｏ装置１８は、好ましくは、パスワードを入力し、その他当該ウェブクライアント１７の動作を制御する命令を発生することができる製品を有するものとする。マウス、トラックボール、キーボード及びマイクロフォン（音声認識ソフトウェア付き）等を含む多数の斯かる製品が知られている。ウェブクライアント局１４は、好ましくは、１以上の非生体測定Ｉ／Ｏ装置１８を含むものとするが、当該局は本発明の原理から逸脱することなく、斯かる装置を完全に削除することもできると理解されたい。
生体測定Ｉ／Ｏ装置１６は、当該ウェブクライアント局１４を使用している個人の生体特性に関する選ばれたデータを収集する技術を有している。これら技術は、通常、１以上の既知のハードウェアセンサ及び関連するソフトウェアドライバを含む（図示略）。この関連するソフトウェアドライバの制御の下で、上記センサは提示された生体特性の変化を表す信号を発生する。例えば、上記センサが音声パターンを捕捉するために用いられるマイクロフォンである場合は、該マイクロフォンは口話相（spoken phase）における周波数変化に対して時間と共に振幅が変化するような信号（声紋）を発生する。マイクロフォンに加えて、（ｉ）指紋又は網膜パターンを収集する種々のスキャナ、及び（ii）キーボードに関連付けられた打鍵パターンセンサ、を含む他のセンサも知られている。
上記の種々の生体測定Ｉ／Ｏ装置１６及び非生体測定Ｉ／Ｏ装置１８は、本発明の原理から逸脱することなく、単一の物理的ユニットに構成することができると理解されたい。例えば、マイクロフォンは、音声認識ソフトウェアを介する非生体データ、及び声紋の形態の生体データを入力することができる。更なる例として、物理的キーボードは、非生体データと共に打鍵パターンの形として生体データを入力することができる。
生体測定Ｉ／Ｏ装置１６は、好ましくは、収集されたデータを受け入れ可能な形態でウェブクライアント１７に供給するが、該形態は通常上記収集されたデータを表すものである。しかしながら、殆どの生体センサにより発生される信号はアナログであるので、これらの信号は、通常、デジタルの形態に変換されねばならない。このようにするため、典型的には、アナログ／デジタル変換器（ＡＤＣ）が生体測定Ｉ／Ｏ装置１６に対応させて設けられる。多くのパーソナルコンピュータ（論理的ウェブクライアント局１４用の典型的な物理的ホスト）が、しばしば、例えばマイクロフォンポートのような統合マルチメディアポートに関してＡＤＣ動作を行うことは注目に値する。しかしながら、ここでも図の論理表記は、本発明の原理から逸脱することなく、ＡＤＣのための上記の統合された及び他の配置、並びに他の物理的装置を意図している。
生体測定Ｉ／Ｏ装置１６として作用することができるような多数の製品が知られている。例えば、指紋技術は、（ｉ）フロリダ州タンパのナショナルレジストリインク（ＮＲＩ）、及び（ii）カナダ国トロントのマイテックテクノロジーズによって提供されている。一方、声紋技術はテキサス州オースチンのインテリトラックテクノロジーズにより提供されている。
ウェブクライアント局１４は、更に、インターフェース機構２８を有している。該機構２８は生体測定Ｉ／Ｏ装置１６により収集されたデータを入力し、該データはウェブクライアント局１４により接続部２２を介して（例えばＳＳＬを介して）前記認証確認センタ２４に供給される。ウェブクライアント１７及び選択された安全保護伝送プロトコルに応じて、ウェブクライアント１７又はインターフェース機構２８の何れかが、該安全保護伝送プロトコルに関連する仕事を実行する。複合的な実施例においては、ウェブクライアント１７がウェブクライアント局１４とウェブサーバ局２０との間の通信に関するような仕事を実施し、一方インターフェース機構２８がウェブクライアント局１４と認証確認センタ２４との間の通信に関するような仕事を実行することが考えられる。
上記機構２８はウェブサーバ局２０に関連するパラメータに応答して生体測定Ｉ／Ｏ装置１６を制御する。これらのパラメータは、好ましくは、ウェブサーバ局２０からウェブクライアント１７により受信される。そのようにするため、パラメータは、好ましくは、ウェブサーバ局２０からのページのダウンロードに、例えば最初にアクセスを試みる際にウェブクライアント局１４により出会われる上記サーバ局のホームページに、含まれるようにする。しかしながら、上記パラメータの幾つか又は全ては、本発明の原理から逸脱することなしに、別の方法でも受信することができる。
インターフェース機構２８は、好ましくは、他の機能も提供する。例えば、生体測定Ｉ／Ｏ装置１６から入力されるデータが不適切な形態であるなら、機構２８は好ましくは該データを適切な形態に整えるべく制御するようになされ、該形態は通常はそれでも収集されたデータを表すものである。更に、上記機構２８は好ましくは生体測定Ｉ／Ｏ装置１６と一緒に生体偽造に対する保護（例えば、指紋走査に関する温度検知）をサポートする。加えて、好ましくは上記機構２８は、１以上の生体測定Ｉ／Ｏ装置１６と共に又は該装置とは独立に、上記生体データを認証確認方法の効率を高めるよう処理するようになされる。この処理は、例えば、当該データの固有の特徴を抽出すること、及び／又は、これとは別に該データを圧縮することを含む。上記及び他の機能が好ましいが、上記機構２８は、本発明の原理から逸脱することなく、上記の所望の機能の１以上を含み若しくは削除してもよく、又は追加の機能を含んでもよい。
インターフェース機構２８は、好ましくは、ブラウザプログラムに対する１以上のプラグインを有する。各プラグインは単一の又は複数の形式の生体データに関連付けることができる。このようにして、機構２８は、サポートされる生体特性の多様性を拡張又は制限すべく変更する。機構２８は全ての形式の又は略全ての形式の生体データをサポートすることが好ましいが、当該機構２８を、本発明の原理から逸脱することなく、僅かな数の形式（例えば、声紋又は指紋のみ）に制限し得ることも考えられる。
上記インターフェース機構２８は、ジャバアプレット（Java applet）として実施化することもできる。アプレットとして、上記機構は、例えばウェブサーバ局２０からパラメータを伝えるページ内で、ダウンロードすることができる。更に、ウェブクライアント１７が閉じられた場合は、上記アプレットは通常破壊される。（本アプリケーションの目的では、プラグイン構成は非破壊的として参照され、ジャバアプレットは破壊的として参照される。）
第３図は、一例のウェブサーバ局２０を詳細に示している。該ウェブサーバ局２０は、ウェブやり取りを含む、情報、サービス及び他の資源をウェブクライアント局１４に対して利用可能にするウェブサーバ３０を有している。ウェブサーバ３０は、好ましくは、ここで述べる認証確認処理のうちの選択された面を実施する。例えば、ウェブサーバ３０は、アクセスを試みているウェブクライアント局１４に適用可能な生体特性のパラメータを提供し、安全保護伝送プロトコル（例えば、ＳＳＬ）の確立に参加する。
ウェブサーバ局２０は、好ましくは、１以上のアプリケーションサーバ３２に関連付けられる。例えば、アプリケーションサーバ３２は、ウェブクライアント局１４を使用する個人により求められる、ウェブ及び非ウェブやり取りの両方を含む、上記情報、サービス及び他の資源を提供するために使用される。使用された場合、アプリケーションサーバ３２は、通常、これらサーバを運用する主体に依存した機能を有する。銀行の場合は、上記アプリケーションサーバ３２は、なかでも、電子メイルサーバ（例えば、顧客サービス）、電子資金転送ゲートウェイ、及び電子請求書配送サーバを含む。
アプリケーションサーバ３２は、ウェブ雲又はその他を介してウェブクライアント局１４にリンクする。該リンクは、ウェブサーバ局２０を通って接続部２２を経るものか、又はウェブサーバ局２０外で接続部３４を経るものかである。この点に関しては、アプリケーションサーバ３２はウェブサーバ局２０に関連して記載され且つ描かれているが、これら記載及び描写は、該局２０のウェブサーバ３０がアクセスに関する個人の認証確認に参加し、このようなアクセスは典型的には関連するアクセスサーバ３２のものであるという点で論理的な関連であるということを理解されたい。一例として、アプリケーションサーバ３２の何れかの１以上のものは、他のものから物理的に離れていてもよく、同様にウェブサーバ局２０から物理的に離れていてもよい。上記論理的関連付けを維持するため、ウェブサーバ３０及びアプリケーションサーバ３２は、通常、といっても必要ということではないが、同一の主体により運用される（例えば、ウェブサーバ３０は認証確認センタ２４を運用する主体により運用されることができるが、該主体は１以上のアプリケーションサーバを運用する主体とは別のものである）。
第４図は、一例の認証確認センタ２４を詳細に示している。該センタ２４は要素接続部４６を介して１以上の生体サーバ４２にリンクされた認可サーバ４０を有し、これら生体サーバの各々は要素接続部４６を介して１以上の関連する生体データベース４４にリンクされている。認可サーバ４０は当該センタ２４と他のシステム要素１０との間の通信を制御する。生体サーバ４２はウェブクライアント局１４から発する生体データ又は該生体データを表すデータを、登録された個人の記憶された生体データ（斯かる記録は生体データベース４４に記憶されている）と比較する。
上記センタ２４はウェブサーバ４８も有するが、該ウェブサーバ４８は、本発明の原理から逸脱することなく、省略することができると理解されたい。該ウェブサーバ４８はページを介して通信する。
要素接続部４６は、好ましくは、ＳＳＬのような安全保護伝送プロトコルをサポートし、該センタ要素間での安全なチャンネルを提供する。当該システム１０の或る構成においては、要素接続部４６は例えばＨＴＴＰのような標準ウェブプロトコルをサポートする。このような構成は、例えば、認証確認センタ２４が認証確認結果に関してウェブクライアント局１４に対しページを提供しているような場合に考えられる。
第４図は、認証確認センタ２４の要素を論理的に一緒に示しているが、これら要素は、本発明の原理から逸脱することなく、物理的に離れて配置することもできると理解されたい。例えば、何れかの１以上の生体データベース４４は、実際には、物理的に互いに離れ且つ関連する生体サーバ４２から物理的に離れた複数のデータベースを有し、該サーバ４２自身も認可サーバ４０から物理的に離されることができる。
更に、認証確認センタ２４は全体として、又はその一部若しくは複数部分（例えば、生体データベース４４）が専属である、即ち各ウェブサーバ局２０のウェブサーバ３０及び／又はアプリケーションサーバ３２と一体的に又は同一の主体により運用されるようにすることができる。この構成においては、上記主体はデータの獲得及び維持に対する管理を保持することができ、斯かるデータは通常顧客の秘密情報を有するので重要であり得る。加えて、上記主体は、前記データベースのコピーを提供し又はデータベース４４への（安全保護チャンネルを介しての）アクセスを可能にすることにより、異なる主体により運用される認証確認センタ２４に対してデータを利用可能にすることができる。これらの状況は、典型的には、上記のようなデータベースを有する比較的大きな企業、又は銀行、保険会社、大きな診療組織及び政府団体等のような比較的高度な安全保護の要求を有するものへのアプリケーションの場合に考えられる。（以下では、“専属構成”なる用語は、通常、認可サーバ４０を伴う又は伴わない１以上の生体データベース４４がウェブサーバ局を運用する主体により作成及び管理されるような構成を指すために使用される。）
比較してみると、認証確認センタ２４はウェブサーバ局２０からは独立して運用され得る（即ち、ウェブサーバ局２０とは一体的にも又は同一の主体によっても運用されない）。この構成においては、典型的には、ウェブサーバ局２０の主体とは異なる主体が生体データベース４４を管理する。これらの状況は、典型的には、上記のようなデータベースを通常有さない小さな企業、又は商店のような比較的低い安全保護要求しか有さないような企業におけるアプリケーションの場合に考えられる。（以下、“独立構成”なる用語は、通常、生体データベース４４がウェブサーバ局を運用する主体によっては作成又は管理されないような構成を指すために使用される。）
動作及び方法
生体測定認証システム１０は典型的には２つのモード、即ち登録（enrollment）及び検証、を有している。登録においては、個人は認証確認センタ２４に対し個人の識別情報（例えば、ユーザ名による）に関するデータを、当該個人のウェブクライアント局１４のウェブロケーション（例えば、ユニフォームリソースロケータ（ＵＲＬ）又はネットワークアドレス）により、又は他の識別情報トークン若しくは組み合わせにより供給する。
好ましくは、登録は、高度の信頼度で且つ所定の評価基準に基づいて、個人の識別情報の確認（登録される個人が、実際に、そうであると主張する個人であること）を含む。専属構成においては、通常、確認はウェブサーバ局２０を運用する主体によりなされる。独立構成においては、通常、確認は前記センタ２４を運用する主体によりなされる。
高度の信頼性の確認が好ましいが、上記登録が別のやり方によることも考えられる。例えば、本発明は、ウェブクライアント局１４からウェブ接続部２２を介して得られるような生体データの登録データベースを構築することも想定する。例えば、ウェブ型商店は以下の過程を含むような認証確認法の使用を選択する。即ち、該商店は、主張された識別情報の個人からアクセス要求を受ける；この個人の識別情報は、ウェブ接続部を介して以前に登録されている生体データに基づいて認証確認される；該商店は商品を提供する；上記以前のアクセス要求の識別情報を主張した個人から、次のアクセス要求がなされる；この個人の識別情報は、（a）以前に提供した商品に対する支払いが受領されていた場合にのみ新たな商品が提供されるようにして認証確認されるか、又は（b）以前に提供した商品に対する支払いが受領されていなかった場合は多分他の要因（例えば、代金引換渡し、価値制限等）で新たな商品が提供されるようにして認証確認はなされない。
登録は、好ましくは、認可チェックも含むものとする。認可は、システムの使用を或る個人達に制限するためのものであり得る。例えば、認可は、当該ウェブサーバ局を運用している主体の会員、顧客、患者等、又は当該システム１０を使用するために何らかの前払い又は継続料金を支払っている者に制限することができる。
その使用は好ましくは認可をうけるものとするが、認証確認センタ２４（例えば、そのデータ及び動作）へのアクセスは通常高度に安全保護されている。
登録は、１以上の個人の生体特性を表すデータの収集を含む。また、認証確認センタ２４は、好ましくは、登録の間に多数のデータサンプルを収集して、収集に際して（及び検証モードにおいて）典型的に出くわす変動の原因を明らかとし、これにより認証確認の信頼性を向上させる（即ち、謝った否定又は肯定を減少させる）。
登録は、登録された各個人の生体データを、確認された個人の識別情報と関連付けた形で記憶することを含む。なた、登録は、本発明の原理から逸脱することなく、他の特性を含むこともできる。例えば、上記生体データは、生体特性が信頼性のある認証確認をサポートするのに充分なだけ表されているかを判定すべく検査される。加えて、上記個人記録は、個人が認証確認された又は認可されると分かるウェブサーバ局２０の監査記録（audit record）含むことができる。加えて、登録はセンタ２４とクライアント局１４との間での通信用の暗号化アルゴリズムを確立することもできる。更に、登録は、上記生体データが登録される個人に固有のものである、即ち当該データを用いては以前に異なる識別情報により誰も登録されていない、との証明（certification）を含むことができる。
検証においては、認証確認サーバ４０は、例えば生体データ及び個人の主張された識別情報を含む暗号化されたメッセージを受信する。認証確認サーバ４０は、好ましくは、受け入れられないメッセージはフィルタ除去する。受け入れられないメッセージは、認証確認センタ２４において用意されている如何なる記録にも一致しない（何れの所定の統計的根拠でも）ような主張された識別情報を有するものが含まれる。この場合、受け入れられないメッセージは、例えば、（ｉ）センタ２４に登録されていない個人に関連する（例えば、ユーザ名又はＩＤによる）もの、又は（ii）センタ２４に登録されていないウェブクライアント局１４に関連する（例えば、ＵＲＬ又はネットワークロケーションによる）もの等を含むことができる。
認可サーバ４０は、好ましくは、受け入れ可能なメッセージを暗号解読して生体サーバ４２に受け渡す。（しかしながら、上記メッセージは最初に解読されることなく生体サーバ４２に受け渡すことができ、その場合は該生体サーバ４２が解読を行うと理解されたい）。これらメッセージは、要素接続部４６を介して、即ちＳＳＬ又は何らかの他の安全保護プロトコルをサポートするチャンネルを用いて、生体サーバ４２に受け渡される。受け渡される各メッセージの生体サーバ４２は、（ｉ）当該生体サーバ４２が認証確認を求める個人の主張された識別情報を登録している、及び（ii）当該サーバ４２がアクセスを求められているウェブサーバ局２０を該サーバに関連付けている、を含む種々の要因で決定され、斯かるデータは好ましくは前記生体データと共にセンタ２４に転送される。従って、認可サーバ４０は、好ましくは、複数のサーバ局２０に関して個人の登録をサポートし、この場合、これらサーバ局の各々は、例えば、該認可サーバ局２４と専属構成である（即ち、当該個人に関連する記録を含む専属生体データベース４４を管理する）。認可サーバ局４０は、好ましくは、完全な独立構成に関連する及び両構成の組み合わせに関する登録もサポートする。
パスワードを使用する構成においては、生体サーバ局４２は送信されたパスワードが記録されたパスワードと一致するか否か判定する。生体サーバ局４２は、記録されたパスワードを種々の方法で得ることができる。専属構成では、認可サーバ局４２は、ウェブサーバ局２０を運用する主体の適合するデータベースを、パスワードを維持するデータベースを含めて、アクセスする。従って、専属構成の場合は、非生体のパスワードが追加され、削除され又は変更されるにつれて、認証確認センタ２４は新たなパスワードへの自動的なアクセスを有することになる。独立構成の場合は、認証確認センタ２４は、通常、ウェブサーバ局のデータベースのパスワードにはアクセスしない。従って、通常、センタ２４は、認証確認のために伝送されたパスワードに対して照合するため、パスワードファイルを維持する（例えば登録簿から）か又はパスワードを暗号化された形でウェブサーバ局２０から得るかの何れか又は両方を行う。
生体サーバ局４２は、好ましくは、次のような事項を含み生体データの処理を行う。即ち、（ｉ）当該生体データの固有の特性を抽出する、（ii）区別のつく特性を高める、（iii）当該データを圧縮する。例えば、指紋の場合は、サーバ４２は好ましくは走査された指紋画像の細部を抽出し、各個人の登録の間に抽出された類似の特性と比較する。しかしながら、このような抽出は、指紋データを含み生体データの１以上の形式のものに関しては、本発明の原理から逸脱することなく、省略することができると理解されたい。
生体サーバ４２は、受け渡された各メッセージの生体データを、該サーバの関連する生体データベース４４に記憶された記録と比較する。個人の主張された識別情報を検証するために、生体サーバ４２は、典型的には、上記生体データベースを、受け渡されたメッセージの主張された識別情報が、関連する識別情報と一致するような登録された個人の記録と比較する。（ここで、“一致する”とは“所定の満足のゆく信頼度レベルで等価である”ことを意味する）。
検証よりむしろ、比較が個人を識別するためのものでもあり得る。識別を実行するため、生体サーバ４２は、典型的には、生のデータを、それらに関連する生体データベース４４内の全記録と比較し、これにより充分な一致があるか否か判断する。一致が見つかったら、センタ２４は一致する記録（又は複数の記録）に関連する識別情報（又は複数の識別情報）を返送する。文脈上影響しないかぎり、ここでの検証モードについての記載は、本発明の原理から逸脱することなく、検証及び識別の両方を含むものと理解されたい。
生体サーバ４２は、種々の方法で生体記録にアクセスすることができる。専属構成では、認証確認センタ２４はウェブサーバ局２０を運用する主体の適合するデータベースに生体データベース４４も含み、アクセスする。従って、専属構成においては生体記録が追加され、削除され又は変更されるに拘わらず、認証確認センタ２４はこれら記録に自動的にアクセスすることになる。独立構成においては、認証確認センタ２４は、通常、ウェブサーバ局のデータベースにはアクセスしない。従って、センタ２４は、通常、自身の生体データベースを、個人登録を介して、作成し且つ維持する。
個人の生データは、典型的には、該個人の記録とは正確には一致しない。これは、生体データの収集が、登録モード及び検証モードの両方で、変動を受けるからである。従って、生体サーバ４２は、好ましくは、生データと記録との間の正確な一致を必要としないような比較アルゴリズムを利用する。代わりに、該比較アルゴリズムは、通常、生データの記録に対する統計的な近さを判定するように構成される。この構成では、生体サーバ４２は充分な一致の場合に、即ち近さの判定が許容できると判断される選ばれた信頼度範囲内に入るような結果となる場合は、肯定的応答を発生する。他方、生体サーバ４２は、上記結果が許容できないと判断される選ばれた信頼度範囲内に入る場合は否定的応答を発生する。上記範囲が相補的でなく、且つ、上記結果が両範囲の間に入る場合は、上記生体サーバ４２は、好ましくは、中間的な応答（例えば、再試行せよ／もっとデータを提供せよ）もサポートする。斯かる中間的応答は、当該認証確認センタ２４が故障している（例えば、停止、ビジーその他）ことを含む他の理由でも発生させることができる。
上記範囲は１以上の評価基準の下で選択することができ、斯かる評価基準は生体特性の間で変化し得る。例えば、１以上の範囲を、例えば学習のような統計的データのみに従うように選択することもできる。加えて、１以上の範囲を、統計的データを用いて又は無しで、システム１０の管理者により、又はウェブサーバ局２０の管理者、又は何れか一方又は両方の組み合わせにより選択することもできる。何れの場合も、通常、誤った肯定及び誤った否定の間の選ばれたバランスが得られるよう、最適な選択がなされる。
各認証確認の後、認証確認センタ２４は応答を発する。センタ２４は、どのような性質の応答でもウェブサーバ局２０及びウェブクライアント局１４の何れか又は両方に供給するが、該応答の経路は当該システム１０の構成に依存する。否定応答の場合は、センタ２４は、好ましくは、該応答をウェブクライアント局１４にのみ供給する。しかしながら、この場合、認証確認センタ２４は好ましくは該認証確認過程の詳細を記録し、これにより以下に述べるような生体測定監査証跡（監査形跡）を形成する。
センタ２４は応答をウェブクライアント局１４及びウェブサーバ局２０に対して種々の方法によりダウンロードすることができる。一例として、センタ２４は、比較の結果（例えば、成功、失敗、信頼度レベル、その他）の選択された表記を有するメッセージを作成し局１４及び２０の何れか又は両方にダウンロードすることができる。この場合、上記メッセージは安全保護プロトコル又はセンタ２４と各局との間にあるプロトコルを介してダウンロードするに適したものである。他の例として、ウェブクライアント局１４に対して実行するため、認証確認センタ２４は、ウェブサーバ局２０のアプリケーションサーバ３２の１以上へのアクセスを提供するような電子リンクを有するページをダウンロードすることができ、上記アクセスは、通常、斯かる局２０及び／又は斯かる各サーバ３２において当該個人の認可を受ける。このような場合、認証確認センタ２４は、例えばＨＴＴＰ／ＨＴＭＬのようなウェブプロトコルをサポートすべくウェブサーバ４８を含む。また、このような場合、前記ページは認証確認において得られる信頼度レベルに適切であるような電子リンクのみを含み又は活性化することができる（即ち、アクセスのレベルがサポートされ得る）。更に他の例として、ウェブサーバ局２０に応答するため、認証確認センタ２４は、専属構成の場合、生体データベース４４への適切なエントリを形成する（例えば、特定のセッション用の認証確認を区別するためにフラグを設定し及び／又は他のデータを提供する）ことができる。
他の場合には、センタ２４は上記応答をウェブクライアント局１４にダウンロードすることができ、本発明の原理から逸脱することなく、その際該応答をウェブクライアント局１４を介してウェブサーバ局２０に送ることができる。このようにするため、認証確認センタ２４は局１４にデジタル証明を送付することができ、斯かる証明は、センタ２４が現セッションの特定のクライアント及びサーバ局のための認証確認を区別するデータを用いて暗号化すると共に、好ましくは、該センタ２４が従来理解されている原理に基づいて発生する。
第５図を参照すると、本発明による生体測定認証システム１０の動作を示すフローチャートが図示されている。ステップ１００において、ウェブクライアント局１４はウェブサーバ局２０のアクセスを要求する。局１４は、典型的には、ウェブサーバ局２０のウェブロケーションを入力することにより上記要求を行うが、斯かるロケーションはユニフォームリソースロケータ（ＵＲＬ）の形態である。このステップにおいては、ウェブクライアント局とウェブサーバ局との間にウェブ雲１２を介して安全保護通信チャンネルが確立される。例えばＳＳＬが使用される場合は、上記安全保護通信チャンネルは、なかでも、（ｉ）各局１４、２０の間のウェブ雲１２を経る暗号化アルゴリズムを取り決め、及び（ii）ウェブサーバ局２０をウェブクライアント局１４に対して認証確認する、ことを含むＳＳＬハンドシェークの間に確立される。
ステップ１０２においては、ウェブクライアント局１４においてパラメータが確立される。これらパラメータは、特定のウェブサーバ局２０のアクセスを試みる個人の認証確認に使用されるべき生体データに関連するものである。前述したように、これらパラメータは、好ましくは、ウェブサーバ局２０からのページをＨＴＴＰを用いてＳＳＬを経てダウンロードすることにより、ウェブサーバ局２０からウェブクライアント局１４へ供給される。しかしながら、これらパラメータは、本発明の原理から逸脱することなく、他の方法でも確立することができると理解されたい。
ステップ１０４においては、上記パラメータに関連する生体測定Ｉ／Ｏ装置１６が、当該個人の生体データを収集する。この収集は生体測定Ｉ／Ｏインターフェース機構２８により制御される。
ステップ１０６（ステップ１０４の前若しくは続いて、又はステップ１０４と同時に発生する）においては、当該個人はパスワードを入力する。該パスワードは、非生体測定Ｉ／Ｏ装置１８（例えば、キーボード又は音声認識マイクロフォン）又は生体測定Ｉ／Ｏ装置１６（例えば、声紋を収集するマイクロフォン）の何れかを用いて入力することができる。後者の場合、上記パスワードは好ましくは生体データと一体とする。該パスワードは、本発明の原理から逸脱することなく、予め決められたもの又は揮発性のものであってもよく、揮発性のパスワードは現セッションのみに関連付けられる。揮発性パスワードの場合、これらパスワードは好ましくはウェブサーバ局２０により発生され、（ｉ）ダウンロードでウェブクライアント局１４に供給されると共に、（ii）ウェブクライアント局１４を介して（暗号化された形態で送られる）又はダウンロード若しくは、専属構成の場合は、局２０により保持される生体データベース４４に入力することにより認証確認センタ２４に供給される。
ステップ１０７においては、ウェブクライアント局１４は当該個人の主張された識別情報を準備する。前述したように、主張される識別情報は、当該個人のユーザ名若しくはユーザＩＤにより、当該個人のウェブクライアント局１４のウェブロケーションにより、又は他の識別情報トークン若しくは組み合わせにより示すことができる。
ステップ１０８においては、暗号化が実施される。好ましくは、パスワード及び生体データの両方、又はこれらを表すデータが暗号化される。
ステップ１１０においては、メッセージが認証確認センタ２４により受信される。該メッセージは、好ましくは、例えばＳＳＬ又は何らかの他の安全保護プロトコルをサポートするチャンネル等の１以上の安全保護通信チャンネルを介して受信される。更に、上記メッセージは、好ましくは、ウェブサーバ局２０を迂回してセンタ２４にダウンロードされる。しかしながら、上記メッセージは、本発明の原理から逸脱することなく、ウェブサーバ局２０を介してセンタ２４に送ることもできる。
ステップ１１２においては、認証確認センタ２４は受け入れられないメッセージをフィルタ除去する。受け入れられないメッセージは前述した通りである。メッセージがフィルタ除去される場合は、センタ２４は、好ましくは、ステップ１１３に示すように所定の拒絶メッセージをウェブクライアント局１４に送る。図示されていないが、拒絶メッセージは、本発明の原理から逸脱することなく、ウェブサーバ局２０にも伝送することができる。
ステップ１１４においては、認証確認センタ２４は受け入れられるメッセージを暗号解読する。この解読動作は、前記生体データ及び、もし使用されているなら、前記パスワードを復元するものである。
ステップ１１６においては、上記生データ（例えば、前記収集された生体データ、又は収集された生体データを処理して得られる場合はそのような生体データを表すデータ）が、関連する識別情報が前記メッセージの主張された識別情報と一致するような登録された個人の選ばれた記録と比較される。該比較に先立ち、上記生データは、好ましくは、認可サーバ４０により適切な生体サーバ４２に受け渡される。
ステップ１１６は、受信されたパスワードの、識別情報が主張された識別情報と一致する登録された個人に関連するパスワードとの比較も含む。
前述したように、システム１０は２以上の生体サーバ４２をサポートする認証確認センタ２４を想定している。また、システム１０を使用する方法は、このサポートを有利に使用することを意図している。例えば、第４図を参照して前述したように、各生体サーバ４２は、ウェブサーバ局２０に各々関連して認証確認を行うように使用することができる。しかしながら、他の例として、複数の生体サーバ４２を単一のウェブサーバ局２０に関連して認証確認を行うように使用することもできる。この後者の例では、これら生体サーバ４２を並列に、直列に又は両方の組み合わせで認証確認を行うよう構成することができる。並列認証確認は次のものを含む種々の目的用に構成することができる。即ち、（ｉ）冗長のため、（ii）１つの生体データ形式に対して種々の試験又は比較アルゴリズムを採用するため、又は（iii）種々の生体データ形式に対して各々の比較アルゴリズムを採用するためである。また、直列認証確認は、各アクセスレベルを設けるための一連の障害を形成すること、又は単に連結された認証確認を確立すること、を含む種々の目的のために構成することができる。
ステップ１１８においては、上記比較の結果に基づいて、認証確認センタ２４は応答を発し、その後該認証確認処理は好ましくは終了する。終了が好ましいが、所定の状況下では、本発明の原理から逸脱することなく、追加の認証確認処理が開始されることが考えられる。一例として、データの受信に欠陥があった場合、又はセンタ２４が問題を生じた場合、センタ２４は追加の生体測定処理を、ウェブサーバ局２０への通知と共に又は通知無しで、追加の又は代わりのデータを提示するようなページをウェブサーバ４８からウェブクライアント局１４に送ることにより、開始するようになすことができる。他の例として、アクセスが許可されセッションが実施されているような識別情報の肯定的検証の場合は、システム１０は、追加の生体測定処理を当該セッションの間に連続した、規則的な又はランダムな再認証確認の形で開始するようになすことができる。このような場合、打鍵パターン又は指紋データは、バックグラウンドで収集することができ（ソフトウェアがキー行程を監視し、又はキーボードがスキャナを有する）、認証確認のためセンタ２４に伝送することができる。再認証確認は、認証確認された個人によりセッションの間に使われないままで置かれているウェブクライアント局１４を、クラッカが利用するのを防止する。
更に、識別情報の否定的検証に対しては追加の処理が考えられる。この点で、ステップ１２０により、認証確認センタ２４は認証確認処理の詳細を記録する。これらの詳細は、時間、日付、全部の又は選ばれた生体データ、パスワード、ウェブクライアント局１４及びウェブサーバ局２０の１以上を含む。これら記録は生体測定監査証跡を形成し、これにより違法な個人の繰り返しての試行をくじき、クラッカを捕捉する機会を高める。確かに、当該認証確認システムは失敗した検証又はその他に続いても識別処理を実行するために使用することができ、その場合、全ての登録された個人の記録が該失敗した認証確認の生データと比較される。このような努力は、好ましくは、同様のセンタにも拡張することができ、登録処理の一部とすることができる。もし、目的がクラッカを識別することであり、或る者がそう識別されたら、該クラッカを、もし値するなら、一層容易に訴追することができ、さもなければ該クラッカからウェブサーバ局２０、他のウェブ主体又は当該システム１０に影響を与える力を剥奪する。
上述した各ステップは、本発明の原理から逸脱することなく、種々の任意選択事項をサポートするように構成することができる。例えば、声紋に基づいて認証確認を行うため、上記ステップを、当該個人が例えば複数桁の語又は句のパスワードを話し、該パスワードが認証確認センタ２４において声紋から分離されて所定のパスワードと比較されるように、構成することもできる。従って、肯定的認証確認のためには、上記パスワード及び声紋の両方が充分に一致しなければならない。
他の例として、複数の生体特性のデータを組み合わせて、認証確認の全体の信頼度を向上させることができる。通常、組み合わせは費用／利点の取り引きとなるが、やり取りを含む、ウェブ情報、サービス及び他の資源を提供する主体は、彼ら自身の安全保護要求を設定するものと思われる。このような場合、好ましくは、各生体特性単独に関連する安全保護のレベルが分類される。同様に、好ましくは、各特性の組み合わせに関連する全体の安全保護レベルも分類される。これらのデータ点数は、典型的には、各ウェブサーバ局２０に対して、ウェブ型生体測定認証システムに関しての使用を決める場合に利用可能であろう。
他の構成例では、システム１０はパスワードを用いて又は用いないで使用することができる。例示すると、緊急治療室の臨床医は意識のない患者の指紋をスキャンして該患者の記録にアクセスするのみならず、多分この個人を識別することができる。何れの場合にも、パスワードは不必要且つ不所望であり、それでいて、認証確認は記録を保護し、患者の秘密を保護し、及び当該個人に対し生命維持治療が適当になされることを可能にする。
パラメータ
パラメータの内容は、当該システムの構成に応じて変化する。即ち、パラメータは当該システムが完全に専属的（即ち、前記認証確認センタがウェブサーバ局２０を運用する主体と同一の主体により運用される）か、部分的に専属的（例えば、ウェブサーバ局２０を全体として運用しているか又は１以上のアプリケーションサーバ３２を運用している主体が、その生体データベース４４を、当該ウェブサーバ局２０のウェブサーバ３０も運用している別途運用される認証確認センタ２４に対して利用可能にする）か、又は独立している（例えば、認証確認センタ２４が個人を登録し、登録された個人に関する認証確認サービスを１以上のウェブサーバ局２０を運用している主体に対して提供する）かに従って変化する。
使用することができるパラメータの例は次のようなものを含む。即ち、（ｉ）代替え有り又は無しで、認証確認に使用するための１以上の特定の生体特性；（ii）何の形式を使用することができるかの特定無しでの、多数の使用されるべき生体特性；（iii）比較アルゴリズムの間の選択及び充分な一致が得られたか否かの判定のための信頼度範囲又は複数の範囲の両方を含む、認証確認用評価基準；（iv）デジタル証明が受け入れられるか否か、もしそうなら、何の形式のデジタル証明が受け入れられるかを含み、どのような経路で応答が局２０に送られるべきか；（ｖ）どのような経路で生体データは認証確認センタ２４に送られるべきか；（vi）何の認証確認センタ２４が使用されるべきか、又は当該個人が２以上のセンタで登録されていると仮定した場合、何のセンタから適用可能なセンタが選択されるべきか、又はその選択基準（例えば、“ＸＸＸ”−認証されたセンタ）；（vii）パラメータが変更可能か否か、もしそうなら、何のパラメータが変更可能か、及びそのようにする機構；（viii）個人が認証確認されなかった後、更なる処理が実行可能か、もしそうなら、何のような処理が実行可能か；及び（ix）ウェブサーバ局を運用する主体によりなされる試みに特有なデータ、例えば、銀行口座番号、患者番号、雇用者番号等。上記パラメータのうちの１以上を使用することができるが、本発明の原理から逸脱することなしに、他の又は追加のパラメータも使用することができる。
前述したように、パラメータは、好ましくは、ウェブサーバ局２０からのページのダウンロード（例えば、最初のアクセス試行の際にウェブクライアント局１４により出くわされる当該ウェブサーバ局のホームページ）に含まれるものとする。斯かるダウンロードページは、選択可能な代わりのものを提供するようなパラメータも含むことができる。該選択は、当該個人の意志で（例えば、当該個人にとって許容できる生体特性又は組み合わせ）、ウェブクライアント局１４により自動的に（例えば、サポートされる生体特性に基づいて）、認証確認センタ２４により（即ち、クライアント局１４が代わりのものをセンタ２４に送る）、又はこれらの組み合わせ若しくはその他により、なされる。
しかしながら、上記パラメータの幾つか又は全ては、本発明の原理から逸脱することなく、他のやり方でも確立することができる。例えば、最初のダウンロードページの後、パラメータはウェブサーバ局２０から、該ウェブサーバ局２０からの１以上の後続してダウンロードされるページで通知することもできる。これらのパラメータは、相補的は、置換的な又は取り決め余地のあるような性質のものである。他の例として、上記パラメータの幾つか又は全部は、認証確認センタ２４から通知することもできるし、ウェブクライアント局１４内で自身に通知することもできる（“ローカルな利用可能性”）。更に、上記パラメータは、本発明の原理から逸脱することなく、これら源の何れかの組み合わせを含む通信を介して確立することもできる。
例えば、パラメータが変化しない、又は受信されたパラメータが当該ウェブクライアント局１４と互換性がない場合は、ウェブクライアント局１４におけるローカルな利用可能性を用いることができる。ローカルな利用可能性の１つの形態は記憶である。記憶は、当該個人により開始されるか、又はウェブクライアント局１４において例えば或る合計数のアクセス試行又はアクセス頻度敷居値等の選ばれた起動情報の該局による検出に応じて自動的に実行される。もしサポートされるなら、上記自動記憶は、好ましくは、前記インターフェース機構２８により制御される。ローカルな利用可能性の他の形態は、当該局１４が代わりのものから選択することを可能にすること（上記参照）、又は当該局１４が非互換性に応答することができるようにすることである。例えば、受信されたパラメータに関連する生体データが当該ウェブクライアント局１４によっては供給することができない場合（特に独立構成の場合の問題であろう）は、上記機構２８は、好ましくは、（ｉ）代わりの生体データ（例えば、当該ウェブクライアント局の能力に基づくもの）を送ることの許可を要求するか、又は（ii）自身が選択する他の生体データを得て送信するかの、何れか又は両方を可能にする。
認証確認センタ２４からのパラメータの通知は、ウェブサーバ局２０及びウェブクライアント局１４からの通知の代わりでありえる。加えて、センタ２４からの通知は局２０、１４からの通知（又は複数の通知）及びセンタ２４自身からの他の通知を補足することができる。また、センタ２４からの通知は他の通知と取り引き可能である。
例えば、既存のパラメータが当該ウェブクライアント局１４と互換性がない場合は、補足通知（何のような資源からのものでも）を使用することができる。特に独立構成における問題であるような、この非互換性は次のものを無尽で含むような種々の要因で生じえる。即ち、（ｉ）パラメータに関連する生体測定Ｉ／Ｏ装置１６が存在しないか、又は存在しても、機能していない、（ii）パラメータに関連する生体測定Ｉ／Ｏ装置１６をインターフェース機構２８がサポートしていない、（iii）当該個人がパラメータに関連する生体データを提供することができない、及び（iv）当該個人が、信条の問題として、或る生体データを提供する意志がない（例えば、秘密又は宗教上の問題を犯すデータ）等である。
既存のパラメータが認証確認センタ２４と互換性のないような他の例においても、補足的な伝送（何のような資源からのものでも）を利用することができる。特に独立構成における問題であるような、この非互換性は次のような場合を無尽で含むような種々の要因で生じ得る。即ち、（ｉ）認証確認センタ２４が１以上の既存のパラメータに関連する生体データに基づくような認証確認をサポートしていない（例えば、センタ２４に登録する場合に当該個人が斯かるデータを供給しなかった）場合、（ii）該センタが、１以上の既存のパラメータに関連する生体データに関わる要素の完全な又は部分的な故障を被る場合、及び（iii）当該個人の識別情報を、既存のパラメータの生体データを用いて充分な一致が得られるほどに検証することはできないが、システム１０が少なくとも現ウェブサーバ局２０に関しては追加の又は異なる生体データを用いて認証確認する機会を許容するように構成されている場合である。
上述したように、本発明が種々の通信及び方法を用いてパラメータを確立しようと意図していることは当業者には明らかであろう。ウェブクライアント局１４に関しては、上記方法は次のものを含む。即ち、（ｉ）ウェブサーバ局２０又は認証確認センタ２４からのパラメータを伴う若しくは伴わない、ローカルな利用可能性、又は（ii）ローカルに供給されるパラメータを伴う若しくは伴わない、ウェブサーバ局２０若しくは認証確認センタ２４の何れか又は両方からのウェブクライアント局１４への単一若しくは複数のダウンロード、又は（iii）適切な仲裁アルゴリズムを用いた、ウェブクライアント局１４、ウェブサーバ局２０及び認証確認センタ２４の何れの組み合わせをも含むパラメータ（補足的な、代わりの又は取り引き可能な）の通知。
認証確認センタ２４に関しては、パラメータは典型的には、何のデータが解析されるべきか、使用されるべきアルゴリズム及び充分な一致があるか否かを判定するための信頼度範囲（又は複数の範囲）を含む認証確認用の評価基準、及びデジタル証明が受け入れられるか否か及びそうならどのようなデジタル証明かを含み何処に及びどのように応答データを送るべきか、に焦点をあてる。何れの特別な構成においても、これら事項の１以上は固定とすることができる（即ち、パラメータがローカルに確立される）。例えば、センタ２４は、各々に１つのアルゴリズムを用いて２つの形式のデータのみをサポートしてもよい。しかしながら、これら及び他の事項は選択可能としてもよく、その場合、選択可能なパラメータが、好ましくは、ウェブサーバ局２０によりその安全保護要求に応じて確立されるようにする。何れの場合においても、選択された全てのパラメータは、好ましくは、生体データを伴ってセンタ２４に伝送される。しかしながら、斯かるパラメータは他の方法でセンタ２４に向けることもできると理解されたい。例えば、ウェブサーバ局２０はパラメータをセンタ２４にダウンロードすることができ（例えば、これらパラメータを含むページの同報通信）、又は、専属構成の場合は、これらパラメータを生体データベース４４を介して利用可能にすることもできる。
単一の源から単一の伝送でパラメータを確立する場合を除いて、好ましくは、システム１０はウェブクライアント局１４、ウェブサーバ局２０及び認証確認センタ２４の間の仲裁を行い、当該認証確認において使用されるべきパラメータを確立するようにする。
認証確認センタ
生体データはウェブクライアント局１４で発生し、解析のために認証確認センタ２４において受信される。好ましくは、上記データはウェブサーバ局２０を迂回して局１４から認証確認センタ２４へダウンロードされる。しかしながら、該データは、本発明の原理から逸脱することなく、局１４からウェブサーバ局２０を介してセンタ２４に送ることもできる。
特に独立構成では、関連する認証確認ステップを実行するであろう特定の認証確認センタの決定がなされるようにして、複数の認証確認センタ２４が利用可能とすることもできる。上記決定は、次のようなものを含む種々の問題に応答するものである。即ち、（ｉ）何のセンタ又は複数のセンタで、該個人及び／又はクライアント局１４が登録されるか、（ii）複数のセンタ２４で登録されるなら、何の生体データが各センタの記録に記憶されるか、及び（iii）当該ウェブサーバ局２０が何のセンタ（若しくは複数のセンタ）又は何の形式のセンタを受け付けるか、例えば該サーバが１以上のセンタで登録される又は該サーバが或るアルゴリズム、証明又はサービスを要する。
完全に専属的な構成においては、上記認証確認センタは構成により決定される。実際には、それは事前決定の事項である。例えば、銀行は、ウェブクライアント局１４を運用する個人であるような該銀行の顧客のためにウェブサーバ局２０を運用し、これら顧客は彼らの銀行口座を開設する際に専属の認証確認センタ２４に登録している。
独立構成においては、認証確認センタ２４は、好ましくは、ウェブクライアント局及びウェブサーバ局の何れか又は両方により決定される。典型的には、これはアクセス要求毎のものである。
この決定は、好ましくは、ウェブクライアント局１４によるものとする。これは、（ｉ）局１４は自身の関連する登録データを有している、及び（ii）局１４は好ましくは生データをウェブサーバ局２０を迂回してセンタ２４にダウンロードする、故に好ましい。この決定は、ウェブサーバ局２０からの入力を用いて又は用いないで実行することができる。例えば、局１４は承認用の局２０に対するセンタ２４を識別することができる。もし当該ウェブサーバ局２０が、このようにして識別されたセンタ２４が許容できないと分かった場合は、局２０は再決定を要求することができる（例えば、何らかの他のセンタが使用される）。
ウェブクライアント局１４が決定する場合は、もしセンタ２４が応答をウェブサーバ局２０に直接ダウンロードしなければならないなら、好ましくは、局１４がウェブサーバ局の識別情報をセンタ２４に送る。ウェブサーバ局２０の上記識別情報は、センタ２４がウェブサーバ局の選択した評価基準に基づいて認証確認をすることができるようにするためのものであり得る。但し、上記評価基準がセンタ２４に記憶されると仮定する（例えば、局２０が斯様な評価基準を提供するサービスを予約している）。センタ２４がデジタル証明の発生をサポートするよう構成されている場合は、サーバ局２０の識別情報及び他のデータ（例えば前記パラメータ）は、上記証明内の該データの暗号化を可能にするためのものであり得る。
独立構成は、ウェブサーバ局２０が特定の認証確認センタ２４を決定するのをサポートすることもできる。その場合、ウェブクライアント局１４が生体データを認証確認センタ２４に直接ダウンロードしなければならないなら、当該ウェブサーバ局２０は、好ましくは、ウェブクライアント局１４へ供給されるパラメータとして（例えば、ウェブクライアント局１４へのページのダウンロード内に）センタの識別情報を含んでいるものとする。しかしながら、ウェブクライアント局１４が生体データをウェブサーバ局２０を介して認証確認センタ２４に送らなければならない場合は、好ましくは、上記生体データをセンタ２４に送信する際に局２０が該センタ２４を選択するものとし、斯かるパラメータを局１４に供給する必要はない。このような経路及びセンタ２４の場合は、好ましくは、ウェブクライアント局１４からの生体データは、当該個人が登録される認証確認センタ又は複数のセンタ２４の識別情報を伴うものとする。これは、単に、個人が典型的には限られた数のセンタ２４にしか登録されないからである。
上述した実施例を含め、本発明によるシステム及び方法は種々の利点を有している。これら利点の幾つかは、例えば次のようなものを含む。生体データが、ウェブ型のやり取り内で個人を認証確認するために、中央となる位置（認証確認センタ２４）において論理的に利用可能である；認証確認が概して高速で、信頼性があり、及び安全である；生体測定Ｉ／Ｏ装置１６との名前上の対話を除き、認証確認が概ね個人に対して透明である；当該システムは、特に特注ハードウェア及びソフトウェア解決策を用いるシステムと較べて比較的コスト有効性がある；認証確認が高度に拡張性があり、それでいて定義上個人的である；認証確認が、（ｉ）認証確認を必要とする各主体により利用可能及び選択可能な種々のレベルの信頼度を提供するという点、及び（ii）個人の（場合に応じて、個人のウェブクライアント局の）能力、減損及び信条に応じて各個人により選択するための代わりの生体特性を提供するという点、の両方で柔軟性の利点が得られる。
以上、本発明を好ましい実施例に関して説明したが、上述した原理の範囲内での上記各実施例の変更は当業者にとっては明らかであることが理解されるであろう。従って、本発明は、上記好ましい実施例のみに限定されるものではなく、斯かる変形例も含むことを意図するものである。
【図面の簡単な説明】
第１図は、本発明によるウェブ型生体測定認証システムの一実施例のブロック図、
第２図は、第１図のクライアント部分のブロック図であり、本発明による上記ウェブ型生体測定認証システムの更なる詳細を示し、
第３図は、第１図のサーバ部分のブロック図であり、本発明による上記ウェブ型生体測定認証システムの更なる詳細を示し、
第４図は、第１図の認証確認センタのブロック図であり、本発明による上記ウェブ型生体測定認証システムの更なる詳細を示し、
第５図は、本発明によるウェブ型生体測定認証システムを用いる認証確認に概ね関連したステップを示すフローチャートである。
【図１】
0004068157.tif 000002
【図２】
0004068157.tif 000003
【図３】
0004068157.tif 000004
【図４】
0004068157.tif 000005
【図５】
0004068157.tif 000006