生体認証を受けるユーザが所持する通信端末装置と、前記生体認証を行う生体認証装置と、を含む生体認証システムであって、前記通信端末装置は、前記ユーザの登録時生体情報に対応付けて発行された鍵情報を保持する登録情報格納部と、保持された前記鍵情報と予め定められた誤り訂正符号群の中からランダムに選択された第1の誤り訂正符号との排他的論理和を、鍵秘匿情報として算出する鍵秘匿部と、前記生体認証装置から誤り訂正後情報が送られてきたとき、送られてきた前記誤り訂正後情報と前記第1の誤り訂正符号との排他的論理和を、被証明情報として算出する認証パラメータ抽出部と、を有し、前記生体認証装置は、生体認証を受けようとする人物から認証時生体情報を取得する認証時生体情報取得部と、前記人物が所持する通信端末装置から前記鍵秘匿情報を取得する認証情報取得部と、取得された前記認証時生体情報と、取得された前記鍵秘匿情報と、前記登録時生体情報と前記鍵情報と前記誤り訂正符号群の中からランダムに選択された第2の誤り訂正符号との排他的論理和である登録時変換テンプレートと、の排他的論理和から前記誤り訂正後情報を算出する誤り訂正処理部と、算出された前記誤り訂正後情報を前記通信端末装置に対して送り、これに基づいて算出された前記被証明情報と、前記誤り訂正後情報の算出に用いられた前記第2の誤り訂正符号と、の一致の度合いに基づいて、前記生体認証を行う証明処理部と、を有する、生体認証システム。前記通信端末装置は、前記被証明情報を秘匿化した情報を、証明用情報として生成する証明用情報生成部、を更に有し、前記証明処理部は、前記人物が所持する前記通信端末装置から前記証明用情報を取得し、取得された前記証明用情報と、前記第2の誤り訂正符号を秘匿化した情報である公開鍵情報と、に基づいて、前記一致の度合いを判定する、請求項1記載の生体認証システム。前記公開鍵情報は、所定の乗法群の生成元を底とし前記第2の誤り訂正符号に対応する整数値を指数とする値であり、前記証明用情報は、前記被証明情報に対応する整数値と前記生体認証装置から通知された第1のランダム値との積と前記通信端末装置のみが知る第2のランダム値との和である第2の証明用情報と、前記乗法群の生成元を底とし前記第2のランダム値を指数とする値である第1の証明用情報と、を含み、前記証明処理部は、前記情報群の生成元を底とし前記第2の証明用情報を指数とする値と、前記公開鍵情報を底とし前記第1のランダム値を指数とする値と前記第1の証明用情報との積とが一致するか否かに基づいて、前記前記生体認証を行う、請求項2記載の生体認証システム。前記鍵秘匿部は、前記第2のランダム値を暗号化した情報であるランダム値暗号化情報を前記生体認証装置へ送信し、前記認証情報取得部は、前記通信端末装置から受信した前記ランダム値暗号化情報に基づいて、前記第1の証明用情報を取得する、請求項3記載の生体認証システム。前記認証情報取得部は、前記通信端末装置から受信した前記ランダム値暗号化情報に基づいて、前記第1の誤り訂正符号を暗号化した情報である誤り訂正符号暗号化情報を取得し、取得した前記誤り訂正符号暗号化情報を前記通信端末装置へ送信し、前記鍵秘匿部は、前記生体認証装置から受信した前記誤り訂正符号暗号化情報に基づいて、前記第1の誤り訂正符号を取得する、請求項4記載の生体認証システム。生体認証を受けるユーザが所持する通信端末装置と、前記生体認証を行う生体認証装置と、を含む生体認証システムにおいて用いられる前記通信端末装置であって、前記ユーザの登録時生体情報に対応付けて発行された鍵情報を保持する登録情報格納部と、保持された前記鍵情報と予め定められた誤り訂正符号群の中からランダムに選択された第1の誤り訂正符号との排他的論理和を鍵秘匿情報として算出し、算出した前記鍵秘匿情報を前記生体認証装置へ送信する鍵秘匿部と、前記ユーザが前記生体認証を受けようとする際に前記生体認証装置が取得した認証時生体情報と、送信された前記鍵秘匿情報と、前記登録時生体情報と前記鍵情報と前記誤り訂正符号群の中からランダムに選択された第2の誤り訂正符号との排他的論理和である登録時変換テンプレートと、の排他的論理和から算出された誤り訂正後情報を取得し、取得した前記誤り訂正後情報と前記第1の誤り訂正符号との排他的論理和を、被証明情報として算出する認証パラメータ抽出部と、算出された前記被証明情報を秘匿化した情報を、証明用情報として生成し、生成した前記証明用情報を、前記生体認証装置へ送信する証明用情報生成部と、を有する、通信端末装置。生体認証を受けるユーザが所持する通信端末装置と、前記生体認証を行う生体認証装置と、を含む生体認証システムにおいて用いられる前記生体認証装置であって、生体認証を受けようとする人物から認証時生体情報を取得する認証時生体情報取得部と、前記人物が所持する通信端末装置から鍵秘匿情報を取得する認証情報取得部と、取得された前記認証時生体情報と、取得された前記鍵秘匿情報と、前記登録時生体情報と前記登録時生体情報に対応付けて発行された鍵情報と誤り訂正符号群の中からランダムに選択された第2の誤り訂正符号との排他的論理和である登録時変換テンプレートと、の排他的論理和から誤り訂正後情報を算出する誤り訂正処理部と、算出された前記誤り訂正後情報を前記通信端末装置に対して送り、これに対して前記通信端末装置が算出した前記被証明情報と、前記登録時変換テンプレートの生成に用いられた前記第2の誤り訂正符号と、の一致の度合いに基づいて、前記生体認証を行う証明処理部と、を有する、生体認証装置。生体認証を受けるユーザが所持する通信端末装置と、前記生体認証を行う生体認証装置と、を含む生体認証システムにおいて用いられる生体認証方法であって、前記通信端末装置が、前記ユーザの登録時生体情報に対応付けて発行された鍵情報と、予め定められた誤り訂正符号群の中からランダムに選択された第1の誤り訂正符号と、の排他的論理和を、鍵秘匿情報として算出するステップと、前記生体認証装置が、生体認証を受けようとする人物から認証時生体情報を取得し、前記人物が所持する通信端末装置から前記鍵秘匿情報を取得し、取得された前記認証時生体情報と、取得された前記鍵秘匿情報と、前記登録時生体情報と前記鍵情報と前記誤り訂正符号群の中からランダムに選択された第2の誤り訂正符号との排他的論理和である登録時変換テンプレートと、の排他的論理和から誤り訂正後情報を算出するステップと、前記通信端末装置が、前記生体認証装置から前記誤り訂正後情報が送られてきたとき、送られてきた前記誤り訂正後情報と前記第1の誤り訂正符号との排他的論理和を、被証明情報として算出し、前記被証明情報から算出した証明用情報を前記生体認証装置へ送るステップと、前記生体認証装置が、送られた前記誤り訂正後情報に基づいて算出された前記証明用情報と、前記誤り訂正後情報の算出に用いられた前記第2の誤り訂正符号と、の一致の度合いに基づいて、前記生体認証を行うステップと、を有する、生体認証方法。しかしながら、特許文献1の技術では、登録時変換テンプレートを管理する認証サーバを、インターネットやクラウド等の、専用ネットワークや専用サーバに比べてセキュリティレベルの低いオープンな環境上で運用する場合、成りすまし攻撃のリスクが高くなる。理由は以下の通りである。特許文献1の技術は、登録時生体情報を、通信端末装置に保持された秘密の鍵情報で変換した上で、登録時変換テンプレートとして認証サーバに登録する。したがって、かかる技術をインターネット等のオープンな環境上で運用する場合、複数のコンピュータによる総当り攻撃を用いた不正侵入により、管理する登録時変換テンプレートが不正に取得される可能性がある。更に鍵情報が漏洩した場合、または悪意を持った第三者が不正に鍵情報を取得した場合には、登録時変換テンプレートと鍵情報との両方が揃うことになり、基の登録時生体情報を復元することが容易となる。登録時生体情報が復元されれば、悪意の第三者はユーザ本人に完全に成りすますことができる。すなわち、悪意の第三者が、ユーザ本人に成りすまして認証を通過するおそれがある。本発明の目的は、通信端末装置が保持する鍵情報と登録時変換テンプレートとが漏洩した場合でも成りすまし攻撃を防止することができる生体認証システム、通信端末装置、生体認証装置、および生体認証方法を提供することである。本発明の生体認証システムは、生体認証を受けるユーザが所持する通信端末装置と、前記生体認証を行う生体認証装置とを含む生体認証システムであって、前記通信端末装置は、前記ユーザの登録時生体情報に対応付けて発行された鍵情報を保持する登録情報格納部と、保持された前記鍵情報と予め定められた誤り訂正符号群の中からランダムに選択された第1の誤り訂正符号との排他的論理和を、鍵秘匿情報として算出する鍵秘匿部と、前記生体認証装置から誤り訂正後情報が送られてきたとき、送られてきた前記誤り訂正後情報と前記第1の誤り訂正符号との排他的論理和を、被証明情報として算出する認証パラメータ抽出部とを有し、前記生体認証装置は、生体認証を受けようとする人物から認証時生体情報を取得する認証時生体情報取得部と、前記人物が所持する通信端末装置から前記鍵秘匿情報を取得する認証情報取得部と、取得された前記認証時生体情報と、取得された前記鍵秘匿情報と、前記登録時生体情報と前記鍵情報と前記誤り訂正符号群の中からランダムに選択された第2の誤り訂正符号との排他的論理和である登録時変換テンプレートと、の排他的論理和から前記誤り訂正後情報を算出する誤り訂正処理部と、算出された前記誤り訂正後情報を前記通信端末装置に対して送り、これに基づいて算出された前記被証明情報と、前記誤り訂正後情報の算出に用いられた前記第2の誤り訂正符号と、の一致の度合いに基づいて、前記生体認証を行う証明処理部とを有する。本発明の通信端末装置は、生体認証を受けるユーザが所持する通信端末装置と、前記生体認証を行う生体認証装置とを含む生体認証システムにおいて用いられる前記通信端末装置であって、前記ユーザの登録時生体情報に対応付けて発行された鍵情報を保持する登録情報格納部と、保持された前記鍵情報と予め定められた誤り訂正符号群の中からランダムに選択された第1の誤り訂正符号との排他的論理和を鍵秘匿情報として算出し、算出した前記鍵秘匿情報を前記生体認証装置へ送信する鍵秘匿部と、前記ユーザが前記生体認証を受けようとする際に前記生体認証装置が取得した認証時生体情報と、送信された前記鍵秘匿情報と、前記登録時生体情報と前記鍵情報と前記誤り訂正符号群の中からランダムに選択された第2の誤り訂正符号との排他的論理和である登録時変換テンプレートと、の排他的論理和から算出された誤り訂正後情報を取得し、取得した前記誤り訂正後情報と前記第1の誤り訂正符号との排他的論理和を、被証明情報として算出する認証パラメータ抽出部と、算出された前記被証明情報を秘匿化した情報を、証明用情報として生成し、生成した前記証明用情報を、前記生体認証装置へ送信する証明用情報生成部とを有する。本発明の生体認証装置は、生体認証を受けるユーザが所持する通信端末装置と、前記生体認証を行う生体認証装置とを含む生体認証システムにおいて用いられる前記生体認証装置であって、生体認証を受けようとする人物から認証時生体情報を取得する認証時生体情報取得部と、前記人物が所持する通信端末装置から鍵秘匿情報を取得する認証情報取得部と、取得された前記認証時生体情報と、取得された前記鍵秘匿情報と、前記登録時生体情報と前記登録時生体情報に対応付けて発行された鍵情報と誤り訂正符号群の中からランダムに選択された第2の誤り訂正符号との排他的論理和である登録時変換テンプレートと、の排他的論理和から誤り訂正後情報を算出する誤り訂正処理部と、算出された前記誤り訂正後情報を前記通信端末装置に対して送り、これに対して前記通信端末装置が算出した前記被証明情報と、前記登録時変換テンプレートの生成に用いられた前記第2の誤り訂正符号と、の一致の度合いに基づいて、前記生体認証を行う証明処理部とを有する。本発明の生体認証方法は、生体認証を受けるユーザが所持する通信端末装置と、前記生体認証を行う生体認証装置とを含む生体認証システムにおいて用いられる生体認証方法であって、前記通信端末装置が、前記ユーザの登録時生体情報に対応付けて発行された鍵情報と、予め定められた誤り訂正符号群の中からランダムに選択された第1の誤り訂正符号と、の排他的論理和を、鍵秘匿情報として算出するステップと、前記生体認証装置が、生体認証を受けようとする人物から認証時生体情報を取得し、前記人物が所持する通信端末装置から前記鍵秘匿情報を取得し、取得された前記認証時生体情報と、取得された前記鍵秘匿情報と、前記登録時生体情報と前記鍵情報と前記誤り訂正符号群の中からランダムに選択された第2の誤り訂正符号との排他的論理和である登録時変換テンプレートと、の排他的論理和から誤り訂正後情報を算出するステップと、前記通信端末装置が、前記生体認証装置から前記誤り訂正後情報が送られてきたとき、送られてきた前記誤り訂正後情報と前記第1の誤り訂正符号との排他的論理和を、被証明情報として算出し、前記被証明情報から算出した証明用情報を前記生体認証装置へ送るステップと、前記生体認証装置が、送られた前記誤り訂正後情報に基づいて算出された前記証明用情報と、前記誤り訂正後情報の算出に用いられた前記第2の誤り訂正符号と、の一致の度合いに基づいて、前記生体認証を行うステップとを有する。本発明によれば、通信端末装置が保持する鍵情報と登録時変換テンプレートとが漏洩した場合でも、成りすまし攻撃を防止することができる。以下、本発明の各実施の形態について、図面を参照して詳細に説明する。実施の形態1まず、本発明の実施の形態1に係る生体認証システムのシステム構成について説明する。図1は、本実施の形態に係る生体認証システムの構成を示すシステム構成図である。図1において、生体認証システム100は、登録装置200、通信端末装置300、認証情報格納装置400、および生体認証装置500を有する。登録装置200は、登録段階において、生体認証を受けるユーザから登録時生体情報xを取得する毎に、鍵情報kを発行する。また、この際、登録装置200は、予め定められた誤り訂正符号群のうちの1つを、認証パラメータ第2の誤り訂正符号cとしてランダムに選択する。生体情報は、例えば、虹彩、指紋、静脈、声紋、顔等の特徴量である。本実施の形態では、生体情報として虹彩を用いる場合を例として説明する。等の特徴量であり、本実施の形態においては虹彩の特徴量とする。登録装置200は、登録時生体情報xと鍵情報kと認証パラメータcとの排他的論理和を、登録時変換テンプレートwとして算出する。更に、登録装置200は、認証パラメータcを秘匿化した情報である公開鍵情報Wを生成する。その後、認証パラメータcは削除され、登録時変換テンプレートwおよび公開鍵情報W認証情報が認証情報格納装置400に登録される。通信端末装置300は、登録装置200および生体認証装置500との間で無線または有線により通信可能な装置であり、例えば、ユーザが所持する携帯電話機である。通信端末装置300は、登録段階において、そのユーザの登録時生体情報xに対応付けて発行された鍵情報kを取得し、これを保持する。そして、通信端末装置300は、認証前の段階または認証段階において、予め定められた誤り訂正符号群うちの1つをマスク値第1の誤り訂正符号cとしてランダムに選択する。そして、通信端末装置300は、鍵情報kとマスク値cとの排他的論理和を、鍵秘匿情報kとして算出する。また、通信端末装置300は、認証段階において、生体認証装置500から後述の誤り訂正後情報が送られてきた場合に、その誤り訂正後情報と前マスク値cとの排他的論理和を、被証明情報cとして算出する。そして、通信端末装置300は、算出された被証明情報cを秘匿化した情報を、証明用情報Y、zとして、生体認証装置500へ送信する。認証情報格納装置400は、登録装置200および生体認証装置500との間で無線または有線により通信可能な装置であり、例えば、銀行システムのネットワーク上に配置されたサーバである。認証情報格納装置400は、登録段階において生成された登録時変換テンプレートwおよび公開鍵情報Wを格納し、これらを認証段階まで保持する。生体認証装置500は、ユーザに対して、ユーザの生体情報に基づいて個人認証登録された本人であるかどうかの確認を行う装置であり、例えば銀行のATMAutomatedTellerMachineである。生体認証装置500は、認証段階において、生体認証を受けようとする人物以下被認証者というから認証時生体情報xを取得する毎に、その被認証者が所持する通信端末装置から鍵秘匿情報kを取得する。なお、鍵秘匿情報kを取得する相手には、本発明に係る通信端末装置300ではないもの例えば悪意の第三者の所持する通信端末装置も含まれ得る。生体認証装置500は、認証時生体情報xと、鍵秘匿情報kと、認証情報格納装置400に保持された登録時変換テンプレートwとの排他的論理和から、上述の誤り訂正後情報cを算出し、被認証者が所持する通信端末装置へ送信する。そして、生体認証装置500は、通信端末装置から返信されてきた上述の証明用情報Y、zと上述の公開鍵情報Wとに基づいて、上述の被証明情報cと認証パラメータcとの一致を判定する。登録時生体情報と認証時生体情報とが非常に似た情報である場合、被証明情報cと認証パラメータcとは一致する。したがって、このような生体認証システム100は、被証明情報cと認証パラメータcとの一致から、登録時生体情報と認証時生体情報との一致の度合いを判定することができる。このため、生体認証システム100は、登録時変換テンプレートwだけでなく、通信端末装置300が保持する鍵情報kが更に漏洩した場合でも、悪意の第三者には認証パラメータcが取得されないようにすることができる。また、生体認証システム100は、登録時変換テンプレートwと鍵情報kとから登録時生体情報の復元ができないようにすることができる。したがって、生体認証システム100は、成りすまし攻撃を防止することができる。ここで、生体認証システム100における生体認証の概要について説明する。図2は、生体認証システム100における生体認証の概要を示す図である。図2に示すように、まず、登録段階において、ユーザ610は、登録装置200に接続されたカメラ620を覗き込み、瞳の虹彩を撮影する。カメラ620は、つまり、虹彩を取得するための生体センサである。登録装置200は、撮影された画像のデータを、登録時生体情報xとしてカメラ620から入力すると、認証パラメータcとして、予め定められた誤り訂正符号群Cから1つの符号語を、ランダムに選択する。これは、例えば、以下の式1で表される。また、登録装置200は、鍵情報kを発行し、通信端末装置300に保持させる。更に、登録装置200は、認証パラメータcを用いて、登録時変換テンプレートwおよび公開鍵情報Wをそれぞれ算出する。これは、例えば、以下の式2および式3で表される。なお、記号gは、所定の乗法群の生成元を示す。また、式3中のicは、認証パラメータcに対応する整数値である。なお、登録する生体情報が指紋である場合には、カメラ620の代わりに指紋センサ図示せずを用い、登録する生体情報が静脈の場合には、カメラ620の代わりに静脈センサ図示せずを用いる。また、登録する生体情報が声紋である場合には、カメラ620の代わりにマイクを具備する声紋分析装置図示せずを用いる。この場合、各センサ、分析装置は取得したデータから特徴量を抽出し、登録時生体情報xとして登録装置200へ入力する。算出された登録時変換テンプレートwおよび公開鍵情報Wは、認証情報格納装置400に保持され、適宜、生体認証装置500によって読み出される。そして、認証の前の段階または認証段階において、通信端末装置300は、以下の式4で表されるように、端末側ランダム値第2のランダム値aを選択する。そして、通信端末装置300は、端末側ランダム値aを用いて、以下の式5で表されるように、第1の証明用情報Yを算出する。また、通信端末装置300は、以下の式6で表されるように、マスク値cとして、予め定められた誤り訂正符号群Cから1つの符号語を、ランダムに選択する。また、通信端末装置300は、マスク値c’を用いて、以下の式7で表されるように、鍵情報kを秘匿化した鍵秘匿情報kを算出する。そして、認証段階において、ユーザ610は、生体認証装置500に接続されたカメラ630を覗き込み、瞳の虹彩を撮影する。カメラ630は、つまり、虹彩を取得するための生体センサである。また、通信端末装置300は、鍵秘匿情報kと第1の証明用情報Yとを、生体認証装置500へ送信する。生体認証装置500は、カメラ630から撮影画像のデータを認証時生体情報xとして入力し、鍵秘匿情報kを受信すると、ユーザ610に対応する登録時変換テンプレートwおよび公開鍵情報Wを、認証情報格納装置400から取得する。そして、生体認証装置500は、認証時生体情報xと鍵秘匿情報kと登録時変換テンプレートwとの排他的論理和に対して誤り訂正処理を行い、誤り訂正後情報cを算出する。これは、例えば、以下の式8で表される。ここで、式8中のDecodeは、誤り訂正符号群Cに付随する復号アルゴリズムである。なお、認証に用いる生体情報が指紋である場合には、カメラ630の代わりに指紋センサ図示せずを用い、認証に用いる生体情報が静脈の場合には、カメラ630の代わりに静脈センサ図示せずを用いる。また、認証に用いる生体情報が声紋である場合には、カメラ630の代わりにマイクを具備する声紋分析装置図示せずを用いる。この場合、各センサ、分析装置は取得したデータから特徴量を抽出し、認証時生体情報x’として生体認証装置500へ入力する。そして、生体認証装置500は、以下の式9で表されるように、装置側ランダム値第1のランダム値bを選択する。そして、生体認証装置500は、装置側ランダム値bおよび誤り訂正後情報cを、通信端末装置300へ送信する。通信端末装置300は、装置側ランダム値bおよび誤り訂正後情報cを受信すると、以下の式10で表されるように、被証明情報cを算出する。そして、通信端末装置300は、被証明情報cおよび装置側ランダム値bを用いて、以下の式11で表されるように、第2の証明用情報zを算出する。そして、通信端末装置300は、第2の証明用情報zを、生体認証装置500へ送信する。生体認証装置500は、受信した第1の証明用情報Yおよび第2の証明用情報zを用いて、以下の式12が成立するか否かを判定することにより、認証時生体情報が登録時生体情報と類似するか否かを判定する。この式12は、非特許文献1で提案されたゼロ知識証明を基盤とした認証プロトコルにおける論理式である。そして、生体認証装置500は、生体認証結果を利用する作動装置640例えばATMの機能部に対し、情報が一致すると判定した場合には受理Acceptを示す情報を出力する。また、生体認証装置500は、情報が一致しないと判定した場合には拒絶Rejectを示す情報を出力しても良い。登録時生体情報xと認証時生体情報xとの間には、通常、検出誤差が存在する。したがって、認証時生体情報xを以下の式13のように検出誤差eを用いて表すことができるとすると、上述の誤り訂正後情報cは以下の式14のように表すことができる。ところが、検出誤差eは、登録時生体情報xと鍵秘匿情報kと登録時変換テンプレートwとの排他的論理和に対して非常に小さいため、誤り訂正処理によりeを排除することができる。したがって、ユーザ本人による生体認証が行われている場合には、上述の式10は、以下の式15のように変形される。すなわち、ユーザ本人による生体認証においては、被証明情報cは認証パラメータcと一致する。そして、この場合、上述の式12は、以下の式16のように変形され、必ず成り立つことになる。したがって、生体認証システム100は、式12が成り立つか否かによって、生体認証を正しく行うことができる。このような生体認証によれば、登録時変換テンプレートwと鍵情報kの両方が万が一漏洩した場合でも、認証パラメータcを取得しなければ、基の登録時生体情報xを復元することはできない。また、被証明情報cは秘匿されるので、認証パラメータcが漏洩する危険性は非常に低い。したがって、生体認証システム100は、登録時変換テンプレートwと鍵情報kとが漏洩した場合でも成りすまし攻撃を防ぐことができる。次に、各装置の構成について説明する。なお、以下の各装置のブロック図において、説明の簡便化のため、情報の流れを示す記号や他の装置を記載している。まず、登録装置200の構成について説明する。図3は、登録装置200の構成を示すブロック図である。図3において、登録装置200は、登録時生体情報取得部210、ID発行部220、鍵発行部230、認証パラメータ生成部240、認証情報生成部250、および登録部260を有する。登録時生体情報取得部210は、登録時に、生体センサ例えば図2のカメラ620を介して、ユーザから登録時生体情報xを取得し、認証パラメータ生成部240へ出力する。また、登録時生体情報取得部210は、登録時生体情報xを認証パラメータ生成部240へ出力する毎に、情報発行の指示を、ID発行部220および鍵発行部230へ出力する。ID発行部220は、情報発行の指示を入力される毎に、ユーザ毎に一意となるID情報idを発行し、登録部260へ出力する。鍵発行部230は、情報発行の指示を入力される毎に、鍵情報kを生成して発行し、登録部260および認証情報生成部250へ出力する。鍵情報kは、例えば、一定の長さの乱数である。認証パラメータ生成部240は、登録時生体情報xを入力される毎に、認証パラメータcを生成し式1参照、認証パラメータcおよび登録時生体情報xを認証情報生成部250へ出力する。認証情報生成部250は、登録時生体情報xと、これに対応する鍵情報kおよび認証パラメータcとを入力されると、登録時変換テンプレートwおよび公開鍵情報Wを生成する式2および式3参照。そして、認証情報生成部250は、登録時変換テンプレートwおよび公開鍵情報Wを、登録部260へ出力する。登録部260は、ユーザの通信端末装置300と登録時にのみ接続し、認証情報格納装置400と常時接続する。登録部260は、登録時変換テンプレートwと、これに対応するID情報id、鍵情報k、および公開鍵情報Wとを入力されると、まず、ID情報idおよび鍵情報kを、通信端末装置300へ送信する。そして、登録部260は、ID情報idと登録時変換テンプレートwと公開鍵情報Wとを組にして、認証情報格納装置400へ送信する。このような登録装置200は、登録時生体情報xを取得し、鍵情報kを通信端末装置300へ登録し、登録時変換テンプレートwおよび公開鍵情報Wを認証情報格納装置400へ登録することができる。次に、通信端末装置300の構成について説明する。図4は、通信端末装置300の構成を示すブロック図である。図4において、通信端末装置300は、登録情報格納部310、マスク値生成部320、鍵秘匿部330、認証パラメータ抽出部340、およびゼロ知識証明部350を有する。登録情報格納部310は、登録装置200と登録時にのみ接続し、登録装置200からID情報idおよび鍵情報kを受信すると、これらを保持する。マスク値生成部320は、マスク値cを生成し式6参照、鍵秘匿部330へ出力する。マスク値cの生成および出力は、例えば、認証時に生体認証装置500によって入力される指示をトリガとして行われる。鍵秘匿部330は、認証時にのみ生体認証装置500に接続する。鍵秘匿部330は、マスク値cを入力される毎に、ID情報idおよび鍵情報kを登録情報格納部310から読み出し、鍵秘匿情報kを生成する式7参照。そして、鍵秘匿部330は、ID情報idおよび鍵秘匿情報kを生体認証装置500へ送信し、マスク値cを認証パラメータ抽出部340へ出力する。認証パラメータ抽出部340は、認証時にのみ生体認証装置500に接続する。鍵秘匿部330は、生体認証装置500から誤り訂正後情報cおよび装置側ランダム値bを受信すると、入力されたマスク値cを用いて、被証明情報cを生成する式10参照。そして、認証パラメータ抽出部340は、装置側ランダム値bおよび被証明情報cを、ゼロ知識証明部350へ出力する。ゼロ知識証明部350は、認証時にのみ生体認証装置500に接続する。ゼロ知識証明部350は、端末側ランダム値aを選択し式4参照、第1の証明用情報Yを算出して式5参照、算出された第1の証明用情報Yを生体認証装置500へ送信する。また、ゼロ知識証明部350は、装置側ランダム値bおよび被証明情報cを入力されると、第2の証明用情報zを算出し式11参照、算出された第2の証明用情報zを生体認証装置500へ送信する。このような通信端末装置300は、登録されたID情報idおよび鍵情報kを保持しておくことができる。そして、通信端末装置300は、生体認証時に、マスク値cにより秘匿化した鍵秘匿情報kと、ID情報idと、第1の証明用情報Yとを、生体認証装置500へ送信することができる。また、通信端末装置300は、誤り訂正後情報cおよび装置側ランダム値bを受信し、これに基づいて第2の証明用情報zを生成して返信することができる。次に、認証情報格納装置400の構成について説明する。図5は、認証情報格納装置400の構成を示すブロック図である。図5において、認証情報格納装置400は、認証情報格納部410および検索部420を有する。認証情報格納部410は、登録装置200と常時接続する。認証情報格納部410は、登録装置200からID情報idと登録時変換テンプレートwと公開鍵情報Wとの組を受信すると、これを保持する。検索部420は、生体認証装置500と常時接続する。検索部420は、生体認証装置500からID情報idを指定される毎に、指定されたID情報idと組となっている登録時変換テンプレートwおよび公開鍵情報Wを検索し、生体認証装置500へ返信する。このような認証情報格納装置400は、生体認証装置500から常時読み出し可能な状態で、登録されたID情報idと登録時変換テンプレートwと公開鍵情報Wとの組を保持することができる。次に、生体認証装置500の構成について説明する。図6は、生体認証装置500の構成を示すブロック図である。図6において、生体認証装置500は、認証時生体情報取得部510、認証情報取得部520、誤り訂正処理部530、およびゼロ知識証明処理部540を有する。認証時生体情報取得部510は、認証時に、生体センサ例えば図2のカメラ630を介して、被認証者から認証時生体情報xを取得し、認証情報取得部520へ出力する。認証情報取得部520は、認証情報格納装置400と常時接続し、被認証者の通信端末装置と認証時にのみ接続する。なお、この通信端末装置は、本発明に係る通信端末装置300ではないものを含むが、ここでは、説明の簡便化のため、通信端末装置300と接続しているものとする。認証情報取得部520は、認証時に、通信端末装置からID情報idおよび鍵秘匿情報kを受信し、認証時生体情報xを入力されると、認証情報格納装置400に対して登録時変換テンプレートwおよび公開鍵情報Wを要求する。この要求は、認証情報格納装置400に対し、受信したID情報idを送信してこれを指定することにより行われる。認証情報取得部520は、登録時変換テンプレートwおよび公開鍵情報Wを受信すると、認証時生体情報x、登録時変換テンプレートw、公開鍵情報W、および鍵秘匿情報kを、誤り訂正処理部530へ出力する。誤り訂正処理部530は、認証時生体情報x、登録時変換テンプレートw、公開鍵情報W、および鍵秘匿情報kを入力されると、誤り訂正後情報cを生成し式8参照、ゼロ知識証明処理部540へ出力する。ゼロ知識証明処理部540は、通信端末装置300と認証時にのみ接続する。ゼロ知識証明処理部540は、誤り訂正後情報cを入力されると、端末側ランダム値bを選択し式9参照、誤り訂正後情報cおよび端末側ランダム値bを通信端末装置300へ送信する。そして、ゼロ知識証明処理部540は、通信端末装置300から第1の証明用情報Yおよび第2の証明用情報zを受信すると、ゼロ知識証明により、認証の成否を判定する式12参照。このような生体認証装置500は、被認証者から認証時生体情報xを取得することができる。そして、生体認証装置500は、対応する鍵秘匿情報k、登録時変換テンプレートw、および公開鍵情報Wを取得して、誤り訂正後情報cを生成し、通信端末装置300へ送信することができる。また、生体認証装置500は、同様に送信した装置側ランダム値bを用いて、通信端末装置300から受信した第1の証明用情報Yおよび第2の証明用情報zに基づいて、生体認証を行うことができる。なお、以上の登録装置200、通信端末装置300、認証情報格納装置400、および生体認証装置500は、図示しないが、例えば、CPUcentralprocessingunit及びRAMrandomaccessmemory等の記憶媒体をそれぞれ有する。この場合、上述の各機能部は、各CPUが制御プログラムを実行することにより実現される。次に、各装置の動作について説明する。まず、登録装置200の動作について説明する。図7は、登録装置200の動作を示すフローチャートである。まず、S1100において、登録時生体情報取得部210は、新たに登録時生体情報xを入力されたか否か、つまり、登録が開始されたか否かを判断する。登録時生体情報取得部210は、登録時生体情報xを入力されていない場合にはS1100:NO、ステップS1200へ進む。また、登録時生体情報取得部210は、登録時生体情報xを入力された場合にはS1100:YES、ステップS1300へ進む。ステップS1300において、ID発行部220は、ID情報idを発行する。そして、ステップS1400において、鍵発行部230は、鍵情報kを発行する。そして、ステップS1500において、認証パラメータ生成部240は、認証パラメータcを生成する式1参照。そして、ステップS1600において、認証情報生成部250は、鍵情報k、認証パラメータc、および登録時生体情報から、登録時変換テンプレートwおよび公開鍵情報Wを生成する式2および式3参照。また、認証情報生成部250は、登録時変換テンプレートwおよび公開鍵情報Wを生成すると、基の認証パラメータcを登録装置200の全ての記憶媒体から削除する。そして、ステップS1700において、登録部260は、ID情報idおよび鍵情報kを、通信端末装置300へ送信する。また、ステップS1800において、登録部260は、ID情報id、登録時変換テンプレートw、および公開鍵情報Wの組を、認証情報格納装置400へ送信して、ステップS1200へ進む。ステップS1200において、登録時生体情報取得部210は、ユーザ操作等により処理の終了を指示されたか否か判断する。登録時生体情報取得部210は、処理の終了を指示されていない場合にはS1200:NO、ステップS1100へ戻る。また、登録時生体情報取得部210は、処理の終了を指示された場合にはS1200:YES、一連の処理を終了する。このような動作により、登録装置200は、登録が行われる毎に、鍵情報kを発行して通信端末装置300に登録し、登録時変換テンプレートwおよび公開鍵情報Wを生成して認証情報格納装置400に登録することができる。次に、通信端末装置300の動作について説明する。図8は、通信端末装置300の動作を示すフローチャートである。まず、ステップS2100において、登録情報格納部310は、登録装置200からID情報idおよび鍵情報kを受信したか否かを判断する。登録情報格納部310は、ID情報idおよび鍵情報kを受信していない場合にはS2100:NO、ステップS2200へ進む。また、登録情報格納部310は、ID情報idおよび鍵情報kを受信した場合にはS2100:YES、ステップS2300へ進む。ステップS2300において、登録情報格納部310は、受信したID情報idおよび鍵情報kを格納し、保持して、ステップS2200へ進む。ステップS2200において、マスク値生成部320は、認証が開始されたか否かを判断する。この判断は、上述の通り、例えば、所定のユーザ操作が行われたか否かを判断することにより行われる。マスク値生成部320は、認証が開始されていない場合にはS2200:NO、ステップS2400へ進む。また、マスク値生成部320は、認証が開始された場合にはS2200:YES、ステップS2500へ進む。ステップS2500において、マスク値生成部320は、マスク値cを生成する式6参照。そして、ステップS2600において、鍵秘匿部330は、マスク値cおよび鍵情報から鍵秘匿情報kを生成し式7参照、ID情報idおよび鍵秘匿情報kを生体認証装置500へ送信する。また、ゼロ知識証明部350は、端末側ランダム値aを選択し式4参照、端末ランダム値aから、第1の証明用情報Yを生成する式5。ゼロ知識証明部350は、例えば、ID情報idおよび鍵秘匿情報kが送信される毎に、端末側ランダム値aを選択して第1の証明用情報Yを生体認証装置500へ送信する。そして、ステップS2700において、認証パラメータ抽出部340は、生体認証装置500から誤り訂正後情報cおよび装置側ランダム値bを受信する。そして、認証パラメータ抽出部340は、マスク値cおよび誤り訂正後情報cから、被証明情報cを生成する式10参照。そして、ステップS2800において、ゼロ知識証明部350は、端末ランダム値a、装置ランダム値b、および被証明情報cから、第2の証明用情報zを生成する式11参照。そして、ゼロ知識証明部350は、第2の証明用情報zを、生体認証装置500へ送信して、ステップS2400へ進む。ステップS2400において、マスク値生成部320は、ユーザ操作等により処理の終了を指示されたか否か判断する。マスク値生成部320は、処理の終了を指示されていない場合にはS2400:NO、ステップS2200へ戻る。また、マスク値生成部320は、処理の終了を指示された場合にはS2400:YES、一連の処理を終了する。このような動作により、通信端末装置300は、認証が行われる毎に、毎回異なる鍵秘匿情報kおよび第1の証明用情報Yを生体認証装置500へ送信することができる。そして、通信端末装置300は、鍵秘匿情報kの生成に用いたマスク値cと、生体認証装置500から送られてきた誤り訂正後情報cとを用いて、被証明情報cを生成することができる。そして、通信端末装置300は、生体認証装置500から送られてきた装置側ランダム値bと、通信端末装置300のみが知る端末側ランダム値aとを用いて、被証明情報cを秘匿化し第2の証明用情報zを返送することができる。次に、認証情報格納装置400の動作について説明する。認証情報格納部410は、登録装置200からID情報id、登録時変換テンプレートw、および公開鍵情報Wの組を受信する毎に、これを格納し、以降保持する。また、これと並行して、検索部420は、生体認証装置500からID情報idを指定される毎に、指定されたID情報idと組となっている登録時変換テンプレートwおよび公開鍵情報Wを検索し、生体認証装置500へ返信する。このような動作により、認証情報格納装置400は、登録されたID情報id、登録時変換テンプレートw、および公開鍵情報Wの組を保持しておくことができる。そして、認証情報格納装置400は、生体認証装置500からの要求に応じて、登録時変換テンプレートwおよび公開鍵情報Wを返送することができる。次に、生体認証装置500の動作について説明する。図9は、生体認証装置500の動作を示すフローチャートである。まず、ステップS3100において、認証時生体情報取得部510は、新たに認証時生体情報xを入力されたか否か、つまり、認証が開始されたか否かを判断する。認証時生体情報取得部510は、認証時生体情報xを入力されていない場合にはS3100:NO、ステップS3200へ進む。また、認証時生体情報取得部510は、認証時生体情報xを入力された場合にはS3100:YES、ステップS3300へ進む。ステップS3300において、認証情報取得部520は、被認証者の通信端末装置300から、ID情報id、鍵秘匿情報k、および第1の証明用情報Yを受信し、ID情報idを認証情報格納装置400へ転送する。そして、ステップS3400において、認証情報取得部520は、ID情報idに対応する登録時変換テンプレートwおよび公開鍵情報Wを、認証情報格納装置400から取得する。そして、ステップS3500において、誤り訂正処理部530は、認証時生体情報x、鍵秘匿情報k、および登録時変換テンプレートwから、誤り訂正後情報cを生成する式8参照。そして、ステップS3600において、ゼロ知識証明処理部540は、装置側ランダム値bを選択し式9参照、誤り訂正後情報cおよび装置側ランダム値bを通信端末装置300へ送信する。そして、ステップS3700において、ゼロ知識証明処理部540は、通信端末装置300から第2の証明用情報zを受信し、これからゼロ知識証明プロトコルにおける論理式を生成する式12参照。そして、ステップS3800において、ゼロ知識証明処理部540は、論理式が成り立つ否かに基づいて、認証が成功したか否かを判断する。ゼロ知識証明処理部540は、認証が成功した場合にはS3800:YES、ステップS3900へ進む。また、ゼロ知識証明処理部540は、認証が失敗した場合にはS3800:NO、そのままステップS3200へ進む。ステップS3900において、ゼロ知識証明処理部540は、例えば図2に示す作動装置640に受理を示す情報を出力する等、認証が成功した場合の所定の処理を行い、ステップS3200へ進む。ステップS3200において、認証時生体情報取得部510は、ユーザ操作等により処理の終了を指示されたか否か判断する。認証時生体情報取得部510は、処理の終了を指示されていない場合にはS3200:NO、ステップS3100へ戻る。また、認証時生体情報取得部510は、処理の終了を指示された場合にはS3200:YES、一連の処理を終了する。このような動作により、生体認証装置500は、認証が行われる毎に、認証時生体情報を取得し、通信端末装置300から鍵秘匿情報kを取得し、対応する登録時変換テンプレートwおよび公開鍵情報Wを取得することができる。そして、生体認証装置500は、誤り訂正後情報cおよび装置側ランダム値bを通信端末装置300へ送信することができる。更に、生体認証装置500は、先に受信した第1の証明用情報Yと、返送された被証明情報cを秘匿化した第2の証明用情報zとに基づいて、認証の成否を判定することができる。以上のように、本実施の形態に係る生体認証システム100は、通信端末装置300内に登録時に用いた認証パラメータcが被証明情報cとして復元され、正しい認証パラメータcが復元されたか否かに基づいて認証を行う。また、生体認証システム100は、登録を行ったユーザの認証時生体情報と、登録時に発行された通信端末装置300との2つが揃った場合にのみ、通信端末装置300内に登録時に用いた認証パラメータcが被証明情報cとして復元される構成となっている。すなわち、生体認証システム100において、悪意の第3者が認証パラメータcを取得することは困難である。したがって、生体認証システム100は、登録時変換テンプレートwと鍵情報kとの両方が漏洩した場合でも、登録時生体情報xを復元することを不可能にすることができるため、成りすまし攻撃を防止することができる。また、生体認証システム100は、認証時に、被認証者が正当なユーザである場合に、その通信端末装置300内にのみ認証パラメータcが復元されることにあるため、正当なユーザと通信端末装置300との2つがそろった場合にのみ、認証を成功とすることができる。また、生体認証システム100は、生体情報の特徴量の漏洩リスクや、成りすましによる不正な認証通過のリスクを軽減することができるため、認証情報を管理する認証情報格納装置400をオープンな環境で運用する事が可能となる。例えば、認証情報格納装置400は、第三者がサービスとして提供するサーバ装置の形態を取ることができる。このことは、クラウド型のサーバでの実施が可能となることを示し、物理的、地理的束縛から自由になる上、低コストでの運用が可能となることを示す。また、生体認証装置500を堅牢に守る必要性が低減し、生体認証装置500を不特定多数の人間に晒される衆人環境に設置可能となること、更には、家電のようなコンシューマ機器でも実装可能となることを示す。実施の形態2本発明の実施の形態2は、端末側ランダム値aを生体認証装置側へ送信し、生体認証装置側で第1の証明用情報Yを算出するようにした例である。まず、本実施の形態に係る生体認証システムにおける生体認証の概要について説明する。図10は、本実施の形態に係る生体認証システムにおける生体認証の概要を示す図であり、実施の形態1の図2に対応するものである。図10に示すように、本実施の形態に係る生体認証システム100aは、実施の形態1とは異なる通信端末装置300a、認証情報格納装置400a、および生体認証装置500aを有する。なお、各装置の配置は、実施の形態1と同様である。通信端末装置300aおよび認証情報格納装置400aは、予め、暗号鍵Kを保持している。通信端末装置300aは、暗号鍵Kを用いて、以下の式17で表されるように、端末側ランダム値aを暗号化したランダム値暗号化情報Eaを算出する。そして、通信端末装置300aは、算出したランダム値暗号化情報Eaを、生体認証装置500aを介して認証情報格納装置400aへ送信する。ここで、AESa|Kは、暗号化アルゴリズムAESおよび暗号鍵Kによるランダム値aの暗号化を表す。認証情報格納装置400aは、暗号鍵Kを用いて、以下の式18で表されるように、ランダム値暗号化情報Eaから基の端末側ランダム値aを復号する。そして、認証情報格納装置400aは、復号した端末側ランダム値aから、第1の証明用情報Yを算出して式5参照、生体認証装置500aへ送信する。ここで、DECEa|Kは、復号アルゴリズムDECおよび暗号鍵Kによるランダム値暗号化情報Eaの復号結果を表す。以降の処理は、実施の形態1と同様である。したがって、本実施の形態に係る生体認証システム100aも、登録時変換テンプレートwと鍵情報kとが漏洩した場合でも、成りすまし攻撃が成功する可能性を低減することができる。また、第1の証明用情報Yの算出を生体認証装置側本実施例では認証情報格納装置400aにて行うようにしたことにより、通信端末装置300が処理速度の遅い低リソースな端末である場合にも本発明が適用可能となる。次に、各装置の構成のうち、実施の形態1と異なる部分について説明する。まず、通信端末装置300aの構成について説明する。図11は、通信端末装置300aの構成を示すブロック図であり、実施の形態1の図4に対応するものである。図4と同一部分には同一符号を付し、これについての説明を省略する。図11に示すように、通信端末装置300aは、新たに乱数生成部360aを有し、実施の形態1の鍵秘匿部およびゼロ知識証明部とは異なる鍵秘匿部330aおよびゼロ知識証明部350aを有する。乱数生成部360aは、端末側ランダム値aを選択し式4参照、暗号鍵Kを用いてランダム値暗号化情報Eaを算出する式17参照する。そして、乱数生成部360aは、ランダム値暗号化情報Eaを鍵秘匿部330aへ出力し、端末側ランダム値aをゼロ知識証明部350aへ出力する。鍵秘匿部330aは、認証時に、ID情報idおよび鍵秘匿情報kと共に、ランダム値暗号化情報Eaを、生体認証装置500aへ送信する。ゼロ知識証明部350aは、端末側ランダム値aの生成および第1の証明用情報Yの生成を行わず、乱数生成部360aから入力された端末側ランダム値aを用いて第2の証明用情報zのみを算出し、生体認証装置500aへ送信する。次に、認証情報格納装置400aの構成について説明する。図12は、認証情報格納装置400aの構成を示すブロック図であり、実施の形態1の図5に対応するものである。図5と同一部分には同一符号を付し、これについての説明を省略する。図12に示すように、認証情報格納装置400aは、ゼロ知識証明パラメータ計算部430aを新たに有し、実施の形態1とは異なる検索部420aを有する。検索部420aは、認証情報格納部410における情報検索だけでなく、生体認証装置500aとゼロ知識証明パラメータ計算部430aとの間で情報の転送を行う。ゼロ知識証明パラメータ計算部430aは、生体認証装置500aおよび検索部420aを介して通信端末装置300aから送られてきたランダム値暗号化情報Eaを取得する。そして、ゼロ知識証明パラメータ計算部430aは、暗号鍵Kを用いて、ランダム値暗号化情報Eaから基の端末側ランダム値aを復号し式18参照、第1の証明用情報Yを算出する式5参照。そして、ゼロ知識証明パラメータ計算部430aは、算出した第1の証明用情報Yを、検索部420aを介して生体認証装置500aへ返信する。次に、生体認証装置500aの構成について説明する。図13は、生体認証装置500aの構成を示すブロック図であり、実施の形態1の図6に対応するものである。図6と同一部分には同一符号を付し、これについての説明を省略する。図13に示すように、生体認証装置500aは、実施の形態1とは異なる認証情報取得部520a、誤り訂正処理部530a、およびゼロ知識証明処理部540aを有する。認証情報取得部520aは、ID情報idだけでなく、通信端末装置300aから受信したランダム値暗号化情報Eaを、認証情報格納装置400aへ送信する。そして、認証情報取得部520aは、登録時変換テンプレートwおよび公開鍵情報Wだけでなく、返信されてきた第1の証明用情報Yを受信し、誤り訂正処理部530aへ出力する。誤り訂正処理部530aは、算出した誤り訂正後情報cだけでなく、入力された第1の証明用情報Yを、ゼロ知識証明処理部540aへ出力する。ゼロ知識証明処理部540aは、第1の証明用情報Yを、通信端末装置300aからではなく、誤り訂正処理部530aから取得する。次に、各装置の動作のうち、実施の形態1と異なる部分について説明する。まず、通信端末装置300aの動作について説明する。図14は、通信端末装置300aの動作を示すフローチャートであり、実施の形態1の図8に対応するものである。図8と同一部分には同一ステップ番号を付し、これについての説明を省略する。乱数生成部360aは、ステップS2510aにおいて、認証時に、端末側ランダム値aを選択し式4参照、端末側ランダム値aおよび暗号鍵Kからランダム値暗号化情報Eaを生成する式17参照。また、乱数生成部360aは、選択した端末側ランダム値aを、ゼロ知識証明部350aへ出力する。そして、ステップS2600aにおいて、鍵秘匿部330aは、マスク値cおよび鍵情報から鍵秘匿情報kを生成し式7参照、ID情報id、鍵秘匿情報k、およびランダム値暗号化情報Eaを生体認証装置500aへ送信する。また、ステップS2800aにおいて、ゼロ知識証明部350aは、乱数生成部360aから入力された端末ランダム値aと、認証パラメータ抽出部340から入力された装置ランダム値bおよび被証明情報cとから、第2の証明用情報zを生成する式11参照。そして、ゼロ知識証明部350aは、生成した第2の証明用情報zを生体認証装置500へ送信して、ステップS2400へ進む。次に、認証情報格納装置400aの動作について説明する。検索部420aは、登録時変換テンプレートwおよび公開鍵情報Wの検索処理と並行して、生体認証装置500aとゼロ知識証明パラメータ計算部430aとの間の情報の転送を行う。具体的には、検索部420aは、生体認証装置500aから受信したランダム値暗号化情報Eaを、ゼロ知識証明パラメータ計算部430aへ出力する。また、検索部420aは、ゼロ知識証明パラメータ計算部430aから入力された第1の証明用情報Yを、生体認証装置500aへ送信する。次に、生体認証装置500aの動作について説明する。図15は、生体認証装置500aの動作を示すフローチャートであり、実施の形態1の図9に対応するものである。図9と同一部分には同一ステップ番号を付し、これについての説明を省略する。ステップS3300aにおいて、認証情報取得部520aは、被認証者の通信端末装置300aから、ID情報idおよび鍵秘匿情報kと共に、ランダム値暗号化情報Eaを受信する。そして、認証情報取得部520aは、受信したID情報id、鍵秘匿情報k、およびランダム値暗号化情報Eaを、認証情報格納装置400aへ転送する。そして、ステップS3400aにおいて、認証情報取得部520aは、登録時変換テンプレートwおよび公開鍵情報Wと共に、ランダム値暗号化情報Eaから算出された第1の証明用情報Yを、認証情報格納装置400aから取得する。そして、ステップS3700aにおいて、ゼロ知識証明処理部540aは、通信端末装置300aから第2の証明用情報zのみを受信して、ゼロ知識証明プロトコルにおける論理式を生成する式12参照。このように、本実施の形態に係る生体認証システム100aは、第1の証明用情報Yの算出処理を生体認証装置500a側認証情報格納装置400aにおいて行うようにした。これにより、本実施の形態に係る生体認証システム100aは、実施の形態1に比べて、通信端末装置300aの処理負荷を軽減することができる。実施の形態3本発明の実施の形態3は、実施の形態2において、更にマスク値cを生体認証装置側で選択するようにした例である。まず、本実施の形態に係る生体認証システムにおける生体認証の概要について説明する。図16は、本発明の実施の形態3に係る生体認証システムにおける生体認証の概要を示す図であり、実施の形態2の図10に対応するものである。図16に示すように、本実施の形態に係る生体認証システム100bは、実施の形態1とは異なる通信端末装置300b、認証情報格納装置400b、および生体認証装置500bを有する。なお、各装置の配置は、実施の形態2と同様である。通信端末装置300bは、マスク値cの選択も鍵秘匿情報kの生成も行わずに、まず、ランダム値暗号化情報Eaを生成し式17参照、生体認証装置500bを介して認証情報格納装置400bへ送信する。認証情報格納装置400bは、ランダム値暗号化情報Eaから基の端末側ランダム値aを復号し式18参照、第1の証明用情報Yを算出する式5参照。更に、認証情報格納装置400bは、マスク値cをランダムに選択する式6参照。そして、認証情報格納装置400bは、暗号鍵Kを用いて、以下の式19で表されるように、マスク値cを暗号化したマスク値暗号化情報誤り訂正符号暗号化情報Ecを算出する。認証情報格納装置400bは、算出したマスク値暗号化情報Ecを、生体認証装置500bを介して通信端末装置300bへ送信する。通信端末装置300bは、暗号鍵Kを用いて、以下の式20で表されるように、マスク値暗号化情報Ecから基のマスク値cを復号する。そして、通信端末装置300bは、復号したマスク値cから、鍵秘匿情報kを生成して式7参照、生体認証装置500bへ送信する。以降の処理は、実施の実施の形態2と同様である。したがって、これにより、本実施の形態に係る生体認証システム100bは、実施の形態2に比べて、更に通信端末装置300bの処理負荷を軽減することができる。次に、各装置の構成のうち、実施の形態2と異なる部分について説明する。まず、通信端末装置300bの構成について説明する。図17は、通信端末装置300bの構成を示すブロック図であり、実施の形態2の図11に対応するものである。図11と同一部分には同一符号を付し、これについての説明を省略する。図17に示すように、通信端末装置300bは、実施の形態2のマスク値生成部320を有しておらず、実施の形態2の鍵秘匿部とは異なる鍵秘匿部330bを有する。鍵秘匿部330bは、認証時に、まず、ID情報idおよびランダム値暗号化情報Eaを、生体認証装置500bへ送信する。鍵秘匿部330bは、生体認証装置500bからマスク値暗号化情報Ecを受信すると、マスク値cを復号する式20参照。そして、鍵秘匿部330bは、鍵秘匿情報kを生成して式7参照、鍵秘匿情報kを生体認証装置500bへ送信する。次に、認証情報格納装置400bの構成について説明する。図18は、認証情報格納装置400bの構成を示すブロック図であり、実施の形態2の図12に対応するものである。図12と同一部分には同一符号を付し、これについての説明を省略する。図18に示すように、認証情報格納装置400bは、マスク値生成部440bを新たに有し、実施の形態2とは異なる検索部420bを有する。マスク値生成部440bは、マスク値cを選択し式6参照、マスク値cを暗号化したマスク値暗号化情報Ecを検索部420bへ出力する。マスク値cの選択およびマスク値暗号化情報Ecの出力は、例えば、生体認証装置500bからの認証情報の要求をトリガとして行われる。検索部420bは、認証情報格納部410における情報検索およびゼロ知識証明パラメータ計算部430aに関する情報転送だけでなく、マスク値cから入力されたマスク値暗号化情報Ecの生体認証装置500bへの転送を行う。次に、生体認証装置500bの構成について説明する。図19は、生体認証装置500bの構成を示すブロック図であり、実施の形態2の図13に対応するものである。図13と同一部分には同一符号を付し、これについての説明を省略する。図19に示すように、生体認証装置500bは、実施の形態2とは異なる認証情報取得部520bを有する。認証情報取得部520bは、ID情報idおよびランダム値暗号化情報Eaを認証情報格納装置400bへ送信する。認証情報取得部520bは、この送信に対応して、認証情報格納装置400bからマスク値暗号化情報Ecを受信する。そして、認証情報取得部520bは、受信したマスク値暗号化情報Ecを、通信端末装置300bへ送信する。認証情報取得部520bは、この送信に対応して、通信端末装置300bから鍵秘匿情報kを受信する。そして、認証情報取得部520bは、受信した鍵秘匿情報kと、認証情報格納装置400bから受信した登録時変換テンプレートw、公開鍵情報W、および第1の証明用情報Yと、認証時生体情報xとを、誤り訂正処理部530aへ出力する。次に、各装置の動作のうち、実施の形態2と異なる部分について説明する。まず、通信端末装置300bの動作について説明する。図20は、通信端末装置300bの動作を示すフローチャートであり、実施の形態2の図14に対応するものである。図14と同一部分には同一符号を付し、これについての説明を省略する。鍵秘匿部330bは、ステップS2600bにおいて、ID情報idおよびランダム値暗号化情報Eaのみをまず生体認証装置500bへ送信する。そして、ステップS2610bにおいて、鍵秘匿部330bは、マスク値暗号化情報Ecを受信し、マスク値cを復号し式20参照、鍵秘匿情報kを生成する式7参照。そして、鍵秘匿部330bは、生成した鍵秘匿情報kを、生体認証装置500bへ送信して、ステップS2700へ進む。次に、認証情報格納装置400bの動作について説明する。マスク値生成部440bは、生体認証装置500bからID情報idを受信する毎につまり認証が行われる毎に、マスク値cを選択する式6参照。そして、マスク値生成部440bは、マスク値暗号化情報Ecを生成して式19参照、検索部420bへ出力する。また、検索部420bは、登録時変換テンプレートwおよび公開鍵情報Wの検索処理、並びに、ランダム値暗号化情報Eaおよび第1の証明用情報Yの転送処理と並行して、マスク値暗号化情報Ecの転送処理を行う。具体的には、検索部420bは、マスク値暗号化情報Ecを入力される毎に、入力されたマスク値暗号化情報Ecを生体認証装置500bへ送信する。次に、生体認証装置500bの動作について説明する。図21は、生体認証装置500bの動作を示すフローチャートであり、実施の形態2の図15に対応するものである。図15と同一部分には同一ステップ番号を付し、これについての説明を省略する。認証情報取得部520bは、ステップS3300bにおいて、認証情報取得部520bは、通信端末装置300bから、ID情報idおよびランダム値暗号化情報Eaをまず受信する。そして、認証情報取得部520bは、受信したID情報idおよびランダム値暗号化情報Eaを、認証情報格納装置400bへ転送する。そして、ステップS3400bにおいて、認証情報取得部520bは、登録時変換テンプレートw、公開鍵情報W、および第1の証明用情報Yと共に、マスク値暗号化情報Ecを、認証情報格納装置400bから取得する。そして、認証情報取得部520bは、マスク値暗号化情報Ecを、通信端末装置300bへ転送する。そして、ステップS3410bにおいて、認証情報取得部520bは、通信端末装置300bから、マスク値暗号化情報Ecに基づいて生成された鍵秘匿情報kを受信する。このように、本実施の形態に係る生体認証システム100bは、マスク値cの選択を生体認証装置500b側認証情報格納装置400bにおいて行うようにした。これにより、本実施の形態に係る生体認証システム100bは、実施の形態2に比べて、通信端末装置300aの処理負荷を軽減することができる。なお、以上説明した実施の形態では、ゼロ知識証明を用いて被証明情報cを秘匿化したが、必ずしも秘匿化しなくても良い。この場合には、生体認証装置500は、認証パラメータcを取得し、通信端末装置300から被証明情報cを受信し、これらが一致するか否かを直接に判定すれば良い。また、本発明に係る通信端末装置は、無線機能を有さず有線により生体認証装置500と接続する通信端末装置に適用しても良い。また、生体認証システム100は、ID情報idに基づいて通信端末装置に対応する認証情報を特定するようにしたが、必ずしも通信端末装置に対応する認証情報を特定しなくても良い。これは、総当り的に認証処理を行う場合等もあるためである。また、登録装置200、認証情報格納装置400、および生体認証装置500のうち、2つまたは全ては、一体的な装置として配置されても良い。2010年9月30日出願の特願2010-221379の日本出願に含まれる明細書、図面および要約書の開示内容は、すべて本願に援用される。