JP2011059749A - 生体認証システム、携帯端末、半導体素子、および情報処理サーバ - Google Patents

Abstract

【課題】
セキュリティを保ちつつ、利便性を向上可能な生体認証システム、半導体素子、携帯端末、および情報処理サーバを提供する。
【解決手段】
本発明にかかる生体認証システムは、第１の携帯端末と第２の携帯端末と情報処理サーバとを有する。前記第１の携帯端末および前記第２の携帯端末は生体認証機能を備え、前記情報処理サーバは前記第１の携帯端末および前記第２の携帯端末における生体認証の信頼度を示す信頼度情報を記憶するメモリを備える。そして、前記情報処理サーバは、前記第１の携帯端末から生体認証の結果を示す生体認証結果を受信すると、受信した生体認証結果および前記メモリに記憶された信頼度情報に応じてサービスを提供する。また、前記情報処理サーバは、前記第１の携帯端末における生体認証が前記第２の携帯端末により承認されたことを示す承認情報を、前記第１の携帯端末あるいは前記第２の携帯端末から受信したとき、前記第２の携帯端末の信頼度に応じて、前記第１の携帯端末の信頼度を増加させる。
【選択図】図1

Description

本発明は、生体認証を行う技術に関する。

従来、コンピュータ等の情報機器を利用し、金融取引や入退室管理を行う場合の本人確認の手段としては、暗証番号やパスワード等の本人のみ知り得る情報を確認することが一般的であった。しかし、この従来の本人確認方法には、暗証番号やパスワードが他人に盗まれてしまった場合に、なりすましが容易であるという欠点がある。そこで、近年、指紋や虹彩あるいは指静脈といった、他人が盗むのが困難であると共に各個人で異なっている生体情報を利用した生体認証が注目されている。

例えば、特許文献１には、予め本人の生体情報をICカードに記録し、センサを用いて取得された生体情報が入力されると、ICカード内に記録された生体情報と入力された生体情報との照合を行い、本人か否かを確認することが記載されている。

特開２００１−３４４２１３号公報

生体認証を行うためには、本人の生体情報を生体登録データとしてICカード等に登録する必要があるが、もし他人の生体情報を生体登録データとして容易に登録出来てしまうと、成りすましを行うことが可能になってしまう。このため金融取引など高いセキュリティが求められるサービスで生体認証を用いた本人確認を実施する場合は、利用者はサービス提供者が設けた窓口に赴き、サービス提供者が対面で利用者が本人であることの確認を行ったうえで、ICカード等に利用者の生体情報を登録する仕組みをとっている。しかしながら、必ず窓口に赴き対面で生体認証の登録処理を行わなければならないとすると、利用者によっては不便を感じ、セキュリティ向上のための生体認証登録が促進されない可能性がある。

本発明の目的は、セキュリティを保ちつつ、利便性を向上可能な生体認証システム、半導体素子、携帯端末、および情報処理サーバを提供することにある。

本発明にかかる生体認証システムは、第１の携帯端末と第２の携帯端末と情報処理サーバとを有する。前記第１の携帯端末および前記第２の携帯端末は生体認証機能を備え、前記情報処理サーバは前記第１の携帯端末および前記第２の携帯端末における生体認証の信頼度を示す信頼度情報を記憶するメモリを備える。そして、前記情報処理サーバは、前記第１の携帯端末から生体認証の結果を示す生体認証結果を受信すると、受信した生体認証結果および前記メモリに記憶された信頼度情報に応じてサービスを提供する。また、前記情報処理サーバは、前記第１の携帯端末における生体認証が前記第２の携帯端末により承認されたことを示す承認情報を、前記第１の携帯端末あるいは前記第２の携帯端末から受信したとき、前記第２の携帯端末の信頼度に応じて、前記第１の携帯端末の信頼度を増加させる。

本発明によれば、セキュリティを保ちつつ、利便性を向上可能な生体認証システム、携帯端末、半導体素子、および情報処理サーバを提供することができる。

生体認証を行うための生体認証システムの構成例である。 署名鍵データ管理テーブルの一例である。 利用者信頼度管理テーブルの一例である。 信頼度付与率テーブルの一例である。 携帯端末が情報処理サーバに送信するデータの構成例である。 ICチップと携帯端末の間で行われる生体認証処理フローの一例である。 情報処理サーバで行われる検証処理フローの一例である。 承認処理の概要構成および携帯端末が情報処理サーバに送信するデータの構成例である。 申請者側と承認者側との間で行われる承認処理フローの一例である。 携帯端末が表示する画面の一例である。 携帯端末が表示する画面の一例である。 情報処理サーバで行われる生体認証処理フローの一例である。 生体認証を行うための生体認証システムの構成例である。

図１は生体認証を行う生体認証システムの構成例を示す図である。半導体素子であるICチップ100は、利用者の指紋パターンや静脈パターンなどの生体情報に関するデータである生体情報データを格納し、生体認証を行う機能を有する。携帯端末200は、利用者の生体情報を取得し、ICチップ100と通信することで生体認証を行う。なお、図１の例ではICチップ100は携帯端末200に内蔵されているが、これに限定するものではなく、ICカードの様に携帯端末から脱着可能であっても良い。また、携帯端末200は、例えば携帯電話やＰＤＡ、ＰＣなどである。

情報処理サーバ500は、携帯端末200およびICチップ100で実行した生体認証結果を、インターネット等の通信網400を介して受信し、受信した生体認証結果に基づいて携帯端末200に所定のサービスを提供する。所定のサービスとしては、例えばモバイルバンキングによる金融取引サービスを提供することなどが考えられる。

次に、ICチップ100の内部構成について説明する。通信部101は携帯端末200と通信する機能を有し、例えば国際標準規格であるISO/IEC 7816で規定されているICカード用接触通信を用いる。メモリ102は、ICチップ100が保持するプログラムやデータを格納する機能を有し、ROM(Read Only Memory)、 EEPROM(Electrical Erasable Programmable Read Only Memory)等の不揮発性半導体メモリ、あるいはRAM(Random Access Memory) 等の揮発性半導体メモリから構成される。演算処理部103はICチップ100全体の制御を司る。例えば、通信部101により制御コマンドを受信すると、演算処理部103は、メモリ102に格納しているプログラムに基づいて、受信した制御コマンドに応じた処理を行い、対応するレスポンスを通信部101経由で外部に送信する処理を実行する。

次に、携帯端末200の内部構成について説明する。ICチップ通信部201はICチップ100と通信する機能を有し、例えば国際標準規格であるISO/IEC 7816で規定されているICカード用接触通信を用いる。メモリ202は携帯端末200を制御するプログラムやデータを格納しており、ハードディスクや半導体メモリ等から構成される。生体情報センサ203は利用者の生体情報を読取る機能を有する。生体情報として、例えば指紋パターンや指静脈パターンを読取る。近接無線通信部204は、外部機器と近接で無線通信を行う機能を有している。例えば、国際標準規格であるISO/IEC 18092で規定されているNFC(Near Field Communication)や、ISO/IEC 14443で規定されている非接触ICカード通信を用いる。

携帯端末通信部205は無線通信基地局300と無線通信を行う機能を有している。例えば携帯電話用の広域無線通信や、無線LANに基づいた無線通信を行う。携帯端末200は携帯端末通信部205を用い、無線通信基地局300と通信網400を介して、情報処理サーバ500と通信を行う。無線通信基地局300は、例えば携帯電話の無線基地局などである。通信網400は携帯電話事業者が所有する通信網やインターネット等の公衆通信網を用いる。

入力部206は利用者が必要な情報を携帯端末200に入力することを可能にするものであり、例えばキーボードやタッチパネルを用いて構成される。表示部207は利用者に画像や文字等の視覚情報あるいは音声情報を出力するものであり、例えば液晶ディスプレイやスピーカより構成される。

演算処理部208は携帯端末200全体の制御を司り、メモリ202に格納されているプログラムに基づいてICチップ100を用いた生体認証処理や、外部機器との無線通信処理を実施する。

次に、情報処理サーバ500の内部構成について説明する。通信部501は通信網400を介して、携帯端末200と通信する機能を有する。

メモリ502は情報処理サーバ500を制御するプログラムやデータを格納しており、ハードディスクや半導体メモリ等から構成される。演算処理部503は情報処理サーバ500全体の制御を司り、メモリ502に格納されているプログラムやデータに基づいて生体認証に関する処理や、生体認証を用いた所定のサービスに関わる情報処理を実施する。

次に、ICチップ100のメモリ102に格納しているプログラムとデータについて説明していく。生体認証プログラム111は、ICチップ100を用いた生体認証処理を実行するために使用するプログラムである。

生体登録データ112は、ICチップ100に登録する利用者本人の生体情報である。本例では、利用者はサービス窓口に赴くことなく、携帯端末200の生体情報センサ203を用いて取得した利用者の生体情報を、生体登録データ112としてICチップ100に格納することが出来る。

利用者識別番号113は、ICチップ100を所有し、生体認証を用いたサービスを利用する利用者を識別する番号である。例えばICチップ100を用いた生体認証による本人確認をモバイルバンキングサービスに用いる場合は、利用者識別番号113として利用者の口座番号を用いることが考えられる。なお、本例では、利用者識別番号113を用いているが、番号に限らず、利用者を識別するための他の情報を用いても良い。

認証鍵データ114は、外部機器と相互認証および暗号通信を行うために用いる鍵データである。認証鍵データ114は共通鍵暗号方式の鍵データであっても、あるいは公開鍵暗号方式の鍵データであっても良い。

署名鍵データ115は、ICチップ100で実行した生体認証結果に対するデジタル署名を生成するための鍵データである。ここで、デジタル署名とは、所定のデータが正当で改ざんされていないことを証明するための署名情報である。デジタル署名は一般に公開鍵暗号方式を用いて生成と検証が行われる。
デジタル署名は、デジタル署名生成用の鍵データを用いた暗号処理によって生成される。また、デジタル署名検証用の鍵データを用いた暗号処理によって検証が行われる。デジタル署名の検証が成功すると対象のデータが正当で改ざんされていないことを証明することができる。なお、共通鍵暗号方式を用いてデータの正当性の保証と改ざん検出を行うことも可能である。このため、署名鍵データ115は共通鍵暗号方式の鍵データであっても、あるいは公開鍵暗号方式の鍵データであっても良い。

なお、図示していないが、メモリ102には、生体認証プログラム111以外に、例えばクレジット決済等の金融取引を行うプログラムなど、他のアプリケーションプログラムを格納していても良い。また、メモリ102には、実行するアプリケーションプログラムの管理を行うICチップ用オペレーティングシステムを格納しても良い。ICチップ用オペレーティングシステムとしては、例えばMULTOS（登録商標）やJava（登録商標） Cardを用いることが考えられる。

次に情報処理サーバ500のメモリ502に格納しているプログラムとデータについて説明していく。制御プログラム511は、情報処理サーバ500を制御するために使用するプログラムである。署名鍵データ管理テーブル512は、生体認証を用いたサービスの利用者がICチップに格納している署名鍵データを検索することが可能なテーブルである。図２に署名鍵データ管理テーブル512の一例を示す。図２に示した署名鍵データ管理テーブル512は、各利用者の利用者識別番号と署名鍵データを対応付けて格納している。

利用者信頼度管理テーブル513は、各利用者が行う生体認証の信頼度を管理しているテーブルである。本例では、利用者が窓口等に行くことなく非対面で、ICチップ100に利用者の生体情報を登録可能にするため、万が一、利用者でない第三者の生体情報がICチップ100に登録されてしまったとしても、不正利用を抑制するための仕組みを提供することが求められる。このため情報処理サーバ500は、各利用者の生体認証に対する信頼度を利用者信頼度管理テーブル513に設定し、たとえ生体認証に成功したとしても、設定されている信頼度に応じて提供するサービスを制限するようにする。具体的には、情報処理サーバ500は、携帯端末200から新規に生体情報を登録した通知を受信すると、新規に登録した利用者の信頼度として、最も低い値を初期値として利用者信頼度管理テーブル513に設定する。このように利用者の信頼度が低い状態では、高いセキュリティが求められるサービスは提供しない。これにより非対面で生体情報を登録した場合であっても、セキュリティを保持することができる。

しかし、このように提供されるサービスが制限されたままでは、利用者の利便性が妨げられてしまうという問題がある。そこで、本例では、第１の利用者が携帯端末200Aで行った生体認証の正当性を、第2の利用者が携帯端末200Bを用いて承認し、情報処理サーバ500は認証結果を受けとると、第2の利用者の信頼度に基づいて、第１の利用者の信頼度を増加できるようにする。ここで、以下の説明では、生体認証の正当性を承認する第2の利用者のことを承認者と呼び、承認者の利用者識別番号を承認者識別番号と呼ぶ。また、生体認証の正当性を承認してもらう第１の利用者のことを申請者と呼び、申請者の利用者識別番号を申請者識別番号と呼ぶ。

具体的には、申請者が携帯端末200Aで生体認証を行い、承認者の携帯端末200Bに生体認証結果とともに承認依頼を近接無線通信部204により送信する。携帯端末200Bが生体認証結果を受信すると、承認者は目の前にいる申請者が本人かどうかを確認し、入力部206を用いて生体認証の正当性を承認する。承認者により承認されると、携帯端末200Bは承認結果を近接無線通信により携帯端末200Aに送信し、携帯端末200Aは受信した承認結果を携帯端末通信部205により情報処理サーバ500に送信する。情報処理サーバ500は、承認結果を受信すると、承認者の信頼度および信頼度付与率に応じて、申請者の信頼度を増加させる。

このように承認により信頼度を増加させることにより、セキュリティを保ちつつ、申請者が利用できるサービスを増やすことができ、利用者の利便性を向上することができる。例えば、家族の一人が銀行などの窓口で対面により生体情報の登録を行い、この人が承認を行うことにより、他の人は窓口に行かずに生体情報の登録を行った場合であっても、利用できるサービスを向上することができる。

ここで、承認は本人を目の前にして行う必要があるため、携帯端末200Aと携帯端末200Bとが近接無線通信により通信を行っている場合にのみ承認処理の実行を許可し、近接無線通信以外で通信が行われた場合には処理を中止するように制御する。なお、処理の詳細については、図８及び図９を用いて後述する。

また、承認者が申請者に付与可能な信頼度は一律ではなく、信頼度付与率テーブル514に設定された信頼度付与率に応じて、申請者に付与される信頼度を変化させるようにする。図４に信頼度付与率テーブル514の一例を示す。本例では、各利用者の利用者識別番号に、信頼度付与率を対応付けて格納している。例えば、利用者識別番号が「111111」の利用者の信頼度付与率は20%であるため、この利用者に設定されている信頼度の20％に該当するだけの信頼度を、申請者に付与することができる。例えば窓口などで生体情報が登録された場合や登録期間が長い場合に付与率は高く設定されるなど、登録状況や利用状況などに応じて変化するものとする。

図３に利用者信頼度管理テーブル513の一例を示す。図３に示した利用者信頼度管理テーブル513は、各利用者の利用者識別番号に、承認者識別番号と信頼度を対応付けて格納している。この例では、利用者識別番号が「111111」の利用者は、非対面で生体情報を登録したばかりであり、承認者がまだ登録されておらず、信頼度は最も低い「0」となっている。利用者識別番号が「222222」の利用者には、識別番号「333333」の承認者が登録されており、信頼度は「１」となっている。利用者識別番号が「333333」の利用者には、識別番号「444444」の承認者が登録されており、信頼度は「5」となっている。利用者識別番号が「444444」の利用者は信頼度が「10」となっている。図３に示した利用者信頼度管理テーブル513は、各利用者の利用者識別番号に、最大３個の承認者識別番号を対応付けられる構成になっているが、この限りで無く、任意の数の承認者識別番号を対応付けても良い。

次に、携帯端末200が生体認証結果を、情報処理サーバ500に送信する場合のデータ構成例を、図５に示す。図５に示すように、携帯端末200は生体認証結果通知データ610とデジタル署名データ620を情報処理サーバ500に送信する。生体認証結果通知データ610は、生体認証を行った利用者の利用者識別番号と、生体認証の成否を表す生体認証結果を含んでいる。デジタル署名データ620は生体認証結果通知データ610に対するデジタル署名である。なお、デジタル署名データ620は、ICチップ100の内部で、署名鍵データ115を用いて生成される。

次に、ICチップ100と携帯端末200の間で行われる生体認証処理の一例を、図６を用いて説明する。以下の処理は、メモリ102およびメモリ202に格納されたプログラムに基づき、演算処理部103および演算処理部208によりそれぞれ実行される。

携帯端末200は、生体情報センサ203を用いて利用者の生体情報を取得し、取得した生体情報を生体照合データとしてICチップ100に送信する(ステップS10)。ICチップ100は、携帯端末200から生体照合データを受信すると、メモリ102に保持している生体登録データ112と照合処理を行うことで生体認証を実行し、生体認証結果から生体認証結果通知データ610を生成する(ステップS11)。ここで、上記照合処理は、生体登録データと生体照合データの類似度や不一致度を特定のアルゴリズムを用いて計算し、計算結果を予め設定した基準値（閾値）と比較することで生体認証の判定を行う。

ICチップ100は、生体認証結果通知データ610に対すデジタル署名620を、署名鍵データ115を用いて生成し、生体認証結果通知データ610と共に携帯端末200に送信する(ステップS12)。ここでデジタル署名620は、例えばRSA暗号等の公開鍵暗号方式を用いて生成される。あるいは、共通鍵暗号方式を用い、不正な改ざんを検出する認証コードであるMAC(Message Authentication Code)をデジタル署名620としても良い。

そして、携帯端末200は、ICチップから受信した生体認証結果通知データ610とデジタル署名620を、情報処理サーバ500に送信する(ステップS13)。

次に、情報処理サーバ500で実施する生体認証結果の検証処理の一例を、図７を用いて説明する。以下の処理は、メモリ502に格納されたプログラムに基づき、演算処理部503により実行される。

情報処理サーバ500は、生体認証を実施した携帯端末200から、生体認証結果通知データ610とデジタル署名620を受信すると、生体認証結果通知データ610に含まれる利用者識別番号を検索キーとして、署名鍵データ管理テーブル512から、対応する署名鍵データを検索する（ステップS21）。

情報処理サーバ500は検索した署名鍵データを用いてデジタル署名620を検証し、生体認証結果通知データ610の正当性を確認する(ステップS22)。具体的には、生体認証結果通知データ610の一部に所定の演算処理あるいは署名鍵データを用いた暗号処理を施した結果と、デジタル署名620に所定の演算処理あるいは署名鍵データを用いた暗号処理を施した結果が一致したらデジタル署名620の検証が成功したとみなす。デジタル署名620の検証に失敗した場合は処理を中断し、デジタル署名620の検証に成功した場合はステップS23に進む。ステップS23において、情報処理サーバ500は、生体認証結果通知データ610に含まれる生体認証結果の成否を確認する。

生体認証結果が失敗となっている場合、情報処理サーバ500による生体認証結果の検証処理はエラー終了となる。一方、生体認証結果が成功となっている場合、ステップS24に進む。ステップS24において情報処理サーバ500は、生体認証結果通知データ610に含まれる利用者識別番号を検索キーとして、利用者信頼度管理テーブル513から利用者の信頼度を検索する。

そして、情報処理サーバ500は、検索した信頼度の値に基づいて、携帯端末200に対して所定の情報処理サービスを提供する(ステップS25)。例えば、生体認証が成功したとしても、利用者の信頼度が所定の値に達していないと、モバイルバンキングサービスなどの厳格な本人確認が求められるサービスは提供しない。具体的には、例えばステップS21において、携帯端末200から生体認証結果通知データ610等とともに所定のサービスの提供要求を受信した場合には、ステップS25において、そのサービスの提供可否を示す情報を携帯端末200に送信し、提供可能である場合にはサービス提供を開始する。あるいは、ステップS21において携帯端末200から所定のサービスの提供要求を受信せず、提供サービス一覧表示等の要求を受信した場合には、ステップS25において、提供可能なサービスを示す情報を携帯端末200に送信する。

次に、承認処理の概要構成および情報処理サーバ500に送信するデータ構成例を、図８に示す。携帯端末200A、200Bは図１で説明した携帯端末200と同じ構成である。また、ICチップ100A、100Bは、図１で説明したICチップ100と同じ構成である。

携帯端末200Aは、申請者の生体認証を行い、生体認証結果を近接無線通信により携帯端末200Bに送信する。承認者による承認が入力されると、携帯端末200Bから生体認証結果承認データ630とデジタル署名データ640を近接無線通信により携帯端末200Aに送信する。携帯端末200Aは、受信したデータを携帯端末通信部205により情報処理サーバ500に送信する。

ここで、生体認証結果承認データ630は、承認者識別番号と、申請者識別番号と、生体認証の成否を表す生体認証結果を含んでいる。承認者識別番号は、生体認証の正当性を承認する利用者の識別番号であり、ICチップ100Bに格納されている。申請者識別番号は、申請者の利用者識別番号であり、ICチップ100Aに格納されている。デジタル署名データ640は生体認証結果承認データ630に対するデジタル署名である。デジタル署名データ640はICチップ100Bの内部で、署名鍵データを用いて生成される。本例では、ICチップ100Bで生成された署名鍵データを送信しているが、これに加えて、ICチップ100Aで生成された署名鍵データも送信するようにしてもよい。

情報処理サーバ500はデジタル署名データ640を検証することで、生体認証結果承認データ630が正しいことを確認することが出来る。

次に、申請者側と承認者側との間で行われる生体認証の承認処理フローの一例を、図９を用いて説明する。

まず、図６のS10と同様、携帯端末200Aは、申請者の生体認証を行うために生体情報を取得して、取得した生体情報をICチップ100Aに送信する。そして、図６のS11、S12と同様、ICチップ100Aは、生体照合データを受信すると、メモリ102に保持している生体登録データ112と照合処理を行うことで生体認証を実行し、生体認証結果から生体認証結果通知データ610を生成する(ステップS31)。

携帯端末200Aと携帯端末200Bが有する近接通信機能を用いて、ICチップ100AとICチップ100Bの間で、互いの正当性を検証する相互認証と、以降の暗号通信で用いるセッション鍵の共有処理を行う(ステップS32)。ここで相互認証とセッション鍵共有処理は、ICチップ100AとICチップ100Bが保持している認証鍵データを用いて実行する。認証鍵データは共通鍵暗号方式に基づいていても良く、あるいは公開鍵暗号方式に基づいていても良い。セッション鍵は、認証鍵データと、乱数などの毎回異なるデータを用いて生成した一時的な鍵データである。なお、相互認証を予め実施せずに、以降のセッション鍵を用いた暗号通信が失敗しない（正しく暗復号出来る）ことを確認することで、相互認証を行う構成であっても良い。

ICチップ100AはステップS31で生成した生体認証結果通知データ610を、セッション鍵で暗号化して、携帯端末200Aに出力し、携帯端末200Aはそれを近接通信で携帯端末200Bに送信する(ステップS33)。ここで、ICチップ100Aは生体認証結果通知データ610に対して、改ざんを検出する改ざん検出用データを付加してから暗号化処理を行う。たとえばCRC (Cyclic Redundancy Check)や共通鍵暗号方式を用いたMAC(Message Authentication Code)などにより、改ざん検出用データを生成する。

携帯端末200Bは近接通信で生体認証結果通知データ610を受信すると、ICチップ100Bを用いて承認者の生体認証を行う(ステップS34)。承認者の生体認証に失敗した場合、携帯端末200Bは承認処理を中断する。一方、承認者の生体認証に成功した場合、携帯端末200Bはセッション鍵で暗号化した生体認証結果通知データ610をICチップ100Bに送信する(ステップS35)。ICチップ100Bはセッション鍵を用いて暗号化した生体認証結果通知データ610を復号化し、改ざん検出用データをチェックすることで、改ざんが発生していないことを確認する。そして、生体認証結果通知データ610に含まれる生体認証結果を携帯端末200Bに送信する(ステップS36)。もし改ざんを検出する等により生体認証結果通知データ610の復号処理に失敗した場合、ICチップ100Bは承認処理を中断する。また、生体認証結果通知データ610に含まれる生体認証結果が「失敗」を表している場合も、携帯端末200Bは承認処理を中断する。

携帯端末200Bは、申請者と承認者の生体認証が成功したことを確認した場合に、申請者の生体認証結果を承認するための画面を表示部207に表示して、承認者に承認可否の入力を求める。入力部206を介して承認者から承認の可否が入力されると、携帯端末200Bは承認の可否をICチップ100Bに送信する(ステップS37)。

ICチップ100Bは、携帯端末200Bから、申請者の生体認証結果を承認することを受信した場合、生体認証結果通知データ610と承認者の識別番号から生体認証結果承認データ630を生成する（ステップS38）。ICチップ100BはステップS38で生成した生体認証結果データ630に対すデジタル署名640を、署名鍵データ115を用いて生成し、生体認証結果承認データ630と共に携帯端末200Bに送信する（ステップS39）。携帯端末200Bは、生体認証結果承認データ630とデジタル署名640を受信すると、近接通信を用いて、これらのデータを、携帯端末200Aに送信する（ステップS40）。

携帯端末200Aは、生体認証結果承認データ630とデジタル署名640を受信すると、これらのデータを情報処理サーバ500に送信する（ステップS41）。

なお、図９に示した処理は一例であり、例えば、携帯端末200Bは生体認証結果承認データ630とデジタル署名640を携帯端末200Aに送信せずに、情報処理サーバ500に直接送信するようにしても良い。

次に、生体認証の承認処理を実施する際に、携帯端末200Aが表示する画面の一例を図10に示す。この例では、携帯端末で実施する生体認証として指静脈認証あるいは指紋認証を行うものとする。また、携帯端末200Aと携帯端末200Bが行う近接通信としては、例えばNFCを用いるものとする。NFCを用いる場合は、通信距離が5〜10cm程度と短いため、携帯端末同士を重ね合わせる様に近づけることで、近接通信を開始することが可能である。

まず、携帯端末200Aは申請者の生体認証を行うために、画面1001を表示する。画面1001には生体認証を実行することを申請者に通知するために「指を置いてください」といった文面を表示する。また生体認証を中止するために、中止ボタンを表示する。申請者が中止ボタンを選択した場合は、携帯端末200Aは生体認証の承認処理を中断する。携帯端末200Aは申請者が生体情報センサに指を置いたことを検出した場合、生体認証を実行中であることを現す画面1002を表示する。

携帯端末200Aは申請者の生体認証が成功した場合、画面1003を表示し、生体認証結果通知データ610を送信して良いかを申請者に選択させる。画面1003には送信ボタンと中止ボタンを表示する。申請者が中止ボタンを選択した場合、携帯端末200Aは生体認証の承認処理を中断する。

申請者が送信ボタンを選択した場合、承認者の携帯端末200Bと近接通信を開始するために、画面1004を表示し、申請者に携帯端末200Aと携帯端末200Bを近づけるように促す。携帯端末200Aは携帯端末200Bとの近接通信を開始され、暗号化した生体認証結果通知データ610を携帯端末200Bに送信した後に、画面1005を表示する。画面1005には中止ボタンを表示して、申請者により中止ボタンが選択されると、携帯端末200Aは携帯端末200Bに中断要求を送信し、生体認証の承認処理を中断する。その後携帯端末200Aは、近接通信を用いて、携帯端末200Bから生体認証結果承認データ630とデジタル署名640を受信すると、これらのデータを情報処理サーバに送信する。そして、情報処理サーバ500から承認完了通知を受信するまでの間、画面1005の表示を継続し、承認処理を行っていることを申請者に通知する。情報処理サーバ500から承認完了通知を受信すると、画面1006を表示し、申請者に生体認証が承認されたことを通知する。

次に、生体認証の承認処理を実施する際に、携帯端末200Bが表示する画面の一例を図11に示す。この例でも、携帯端末で実施する生体認証として指静脈認証あるいは指紋認証を行うものとする。また、申請者が操作する携帯端末200Aと承認者が操作する携帯端末200Bが行う近接通信としては、NFCを用いるものとする。

携帯端末200Bは、携帯端末200Aから暗号化された生体認証結果通知データ610を受信すると、画面2001を表示し、これらのデータを検証することを承認者に判断させる。画面2001には検証ボタンと中止ボタンを表示する。承認者が画面2001の中止ボタンを選択した場合、携帯端末200Bは生体認証の承認処理を中断する。承認者が画面2001の検証ボタンを選択した場合、携帯端末200Bは承認者の生体認証を行うために、画面2002を表示する。画面2002には生体認証を実行することを承認者に通知するために「指を置いてください」といった文面を表示する。この際、生体認証を中止するために、中止ボタンを表示し、承認者が画面2002の中止ボタンが選択された場合は、携帯端末200Bは生体認証の承認処理を終了する。

携帯端末200Bは承認者が生体情報センサに指を置いたことを検出すると、生体認証を実行中であることを現す画面2003を表示する。携帯端末200Bは承認者の生体認証が成功し、且つ、生体認証結果通知データ610を用いて申請者の生体認証が成功していることを確認すると、画面2004を表示し、申請者の生体認証を承認するか否かを承認者に判断させる。画面2004には承認ボタンと中止ボタンを表示する。承認者が画面2004の中止ボタンを選択した場合、携帯端末200Bは生体認証の承認処理を中断する。承認者が画面2004の承認ボタンを選択した場合、携帯端末200Bは生体認証結果承認データ630とデジタル署名640を生成し、これらのデータを近接通信で携帯端末200Aに送信するために、画面2005を表示し、承認者に携帯端末200Bと携帯端末200Aを近づけるように促す。

次に、情報処理サーバ500で実施する生体認証結果の承認処理の一例を、図１２を用いて説明する。
情報処理サーバ500は、携帯端末から生体認証結果承認データ630とデジタル署名640を受信すると、生体認証結果承認データ630に含まれる承認者識別番号を検索キーとして、署名鍵データ管理テーブル512から、対応する署名鍵データを検索する（ステップS61）。次に、情報処理サーバ500は検索した署名鍵データを用いてデジタル署名640を検証し、生体認証結果承認データ630の正当性を確認する(ステップS62)。情報処理サーバ500はデジタル署名640の検証に失敗すると、情報処理サーバ500による生体認証結果の承認処理を中断する。情報処理サーバ500はデジタル署名640の検証に成功すると、ステップS63に進む。

情報処理サーバ500は生体認証結果承認データ630に含まれる生体認証結果の成否を確認する(ステップS63)。もし生体認証結果が失敗となっていれば、情報処理サーバ500は、生体認証結果の承認処理を中断する。もし生体認証結果が成功となっていれば、情報処理サーバ500はステップS64に進む。

情報処理サーバ500は生体認証結果承認データ630に含まれる承認者識別番号を検索キーとして、利用者信頼度管理テーブル513から承認者の信頼度を検索する(ステップS64)。そして、情報処理サーバ500は生体認証結果承認データ630に含まれる承認者識別番号を検索キーとして、承認者の信頼度付与率を検索する(ステップS65)。次に情報処理サーバ500は生体認証結果承認データ630に含まれる申請者識別番号を検索キーとして、利用者信頼度管理テーブル513から承認者の信頼度を検索する(ステップS66)。

情報処理サーバ500は申請者の新しい信頼度を計算する(ステップS67)。例えば、(申請者の新しい信頼度)＝(申請者の現在の信頼度)＋(承認者の信頼度)×(承認者の信頼度付与率)との式により、信頼度を計算する。

情報処理サーバ500は、利用者信頼度管理テーブル513に含まれる申請者の信頼度を、更新した値に書き換えると共に、生体認証結果承認データ630に含まれる承認者識別番号を、申請者と対応付けて記録する (ステップS68)。具体的には、申請者の信頼度の変更と承認者識別番号の追加登録を行う。
次に、情報処理サーバ500は、一連の承認処理が成功したか否かを携帯端末に送信する(ステップS69)。

このような処理を用いれば、申請者は特定のサービス窓口に出向かなくても、非対面で登録した生体情報を用いた生体認証の信頼度を向上することが可能になる。申請者の信頼度の増加分は、承認者の信頼度と信頼度寄与率に基づいて決まるため、申請者は、信頼度および信頼度寄与率が高い承認者に承認してもらうほど、信頼度を向上することが可能になる。また、申請者の携帯端末と承認者の携帯端末は近接無線通信を用いて通信するので、承認者は対面で申請者の生体認証を確認でき、承認処理の信頼性を向上することが可能になる。

以上の説明では、携帯端末200はICチップ100を内蔵していたが、ICチップ100を設けなくても、
例えば図１３に示すように、生体登録データ112と、利用者識別番号113と、認証鍵データ114と、署名鍵データ115を携帯端末200のメモリ202に格納するようにしても良い。図１３の例の場合、図６および図９で説明したの生体認証処理は全て、携帯端末200の演算処理部208で実行される。

100…ICチップ、200…携帯端末、300…無線通信基地局、400…通信網、 500…情報処理サーバ

Claims (11)

1. 第１の携帯端末と第２の携帯端末と情報処理サーバとを有する生体認証システムであって、
   前記第１の携帯端末および前記第２の携帯端末は生体認証機能を備え、
   前記情報処理サーバは、前記第１の携帯端末および前記第２の携帯端末における生体認証の信頼度を示す信頼度情報を記憶するメモリを備え、
   前記情報処理サーバは、前記第１の携帯端末から生体認証の結果を示す生体認証結果を受信すると、受信した生体認証結果および前記メモリに記憶された信頼度情報に応じてサービスを提供することを特徴とする生体認証システム。
2. 前記情報処理サーバは、前記第１の携帯端末における生体認証が前記第２の携帯端末により承認されたことを示す承認情報を、前記第１の携帯端末あるいは前記第２の携帯端末から受信したとき、前記第２の携帯端末の信頼度に応じて、前記第１の携帯端末の信頼度を増加させることを特徴とする請求項１に記載の生体認証システム。
3. 第１の携帯端末と第２の携帯端末と情報処理サーバとを有する生体認証システムであって、
   前記第１の携帯端末および前記第２の携帯端末は生体認証機能を備え、
   前記情報処理サーバは、前記第１の携帯端末および前記第２の携帯端末における生体認証の信頼度を示す信頼度情報を記憶するメモリを備え、
   前記情報処理サーバは、前記第１の携帯端末における生体認証が前記第２の携帯端末により承認されたことを示す承認情報を、前記第１の携帯端末あるいは前記第２の携帯端末から受信したとき、前記第２の携帯端末の信頼度に応じて、前記第１の携帯端末の信頼度を増加させることを特徴とする生体認証システム。
4. 前記第２の携帯端末が前記第１の携帯端末における生体認証の承認を行う場合に、前記第１の携帯端末および前記第２の携帯端末は近接無線通信により通信を行うことを特徴とする請求項２または請求項３に記載の生体認証システム。
5. 生体認証機能を備えた第１および第２の携帯端末と通信を行う情報処理サーバであって、
   前記第１の携帯端末および前記第２の携帯端末における生体認証の信頼度を示す信頼度情報を記憶するメモリを備え、
   前記第１の携帯端末から生体認証の結果を示す生体認証結果を受信すると、受信した生体認証結果および前記メモリに記憶された信頼度情報に応じてサービスを提供することを特徴とする情報処理サーバ。
6. 生体認証機能を備えた第１および第２の携帯端末と通信を行う情報処理サーバであって、
   前記第１の携帯端末および前記第２の携帯端末における生体認証の信頼度を示す信頼度情報を記憶するメモリを備え、
   前記第１の携帯端末における生体認証が前記第２の携帯端末により承認されたことを示す承認情報を、前記第１の携帯端末あるいは前記第２の携帯端末から受信したとき、前記第２の携帯端末の信頼度に応じて、前記第１の携帯端末の信頼度を増加させることを特徴とする情報処理サーバ。
7. 生体認証機能を備えた他の端末および情報処理サーバと通信可能な携帯端末であって、
   前記携帯端末の利用者の生体情報を取得可能な生体情報センサと、
   前記携帯端末の利用者の生体情報を生体登録データとして登録するメモリと、
   前記生体情報センサにより取得された生体情報と前記メモリに登録された生体登録データを用いて生体認証を行う生体認証処理部と、を備え、
   前記他の端末から前記他の端末における生体認証の承認要求を受信すると、前記生体情報センサにより前記携帯端末の利用者の生体情報を取得し、取得された生体情報と前記メモリに登録された生体登録データを用いて生体認証を行い、認証に成功した場合に前記携帯端末の利用者に前記他の端末を承認するか否かを求める表示を行い、前記利用者から承認する旨の入力があった場合に承認情報を前記他の端末あるいは前記情報処理サーバに送信することを特徴とする携帯端末。
8. 前記他の端末との間の通信は近接無線通信により行うことを特徴とする請求項７に記載の携帯端末。
9. 請求項７または８に記載のメモリは半導体素子に備えられ、前記半導体素子は前記携帯端末に着脱可能なものであることを特徴とする携帯端末。
10. 生体認証を実行し、情報処理サーバと通信して所定の情報処理を行う携帯端末であって、
    利用者の生体情報を取得する生体情報センサと、前記情報処理サーバと無線で通信する第1の通信部と、第2の携帯端末と無線で通信する第2の通信部と、利用者の生体情報に関する情報を生体登録情報として登録する第１のメモリと、前記利用者を識別する番号である利用者識別番号を記録する第2のメモリと、生体認証処理を行う演算処理部を備え、
    前記生体登録情報と、前記生体情報センサを用いて取得した生体情報を用いて、前記演算処理部により生体認証処理を行い、
    前記生体認証処理が成功した場合、前記生体認証処理の結果と前記利用者識別番号を含む生体認証結果通知データを生成し、前記生体認証結果通知データを第2の携帯端末に送信し、
    その後前記第2の携帯端末から、前記第1利用者の生体認証結果が承認されたことを表す生体認証結果承認データと、前記生体認証結果承認データに対するデジタル署名を受信した場合、前記生体認証結果承認データと前記デジタル署名を、情報処理サーバに送信することを特徴とする特徴とする携帯端末。
11. 携帯端末に搭載され生体認証を実行する半導体素子であって、
    利用者の生体情報に関する情報を生体登録情報として登録する第１のメモリと、デジタル署名を生成するために使用する署名鍵データを格納する第2のメモリと、前記利用者を識別する番号である利用者識別番号を記録する第3のメモリと、前記携帯端末と通信する通信部と、生体認証処理を行う演算処理部を備え、
    第2の半導体素子が実行した生体認証結果を含む生体認証結果通知データを、前記通信部で受信した場合、前記第１のメモリに登録された前記生体登録情報と前記生体情報センサを用いて取得した生体情報を用いて前記演算処理部により生体認証処理を行い、
    前記生体認証処理が成功し、且つ前記生体認証結果通知データに含まれる前記生体認証結果が成功を表している場合、前記利用者識別番号と前記生体認証結果を含む生体認証結果承認データを生成すると共に、前記署名鍵データを用いて、前記生体認証結果承認データに対するデジタル署名を生成することを特徴とする半導体素子。

Images