JP2007108832A - 本人確認方法、プログラムおよび取引処理装置 - Google Patents

Abstract

【課題】本人認証用の可搬媒体が改ざんまたは偽造された場合であっても、その不正使用を防止できるようにする。
【解決手段】利用者のバイオメトリクス情報を利用者カード１０の第１保存部１１、第２保存部１２に第１テンプレート１０２、第２テンプレート１０３として保存し、センタ４０の第３保存部に第２テンプレート１０３のハッシュ値１０５を保存する。取引処理装置３０は、利用者のバイオメトリクス情報をサンプルとして取得し、そのサンプルと第１テンプレート１０２、第２テンプレート１０３とを照合し、そのいずれもがサンプルと同一人物のものと判定された場合には、さらに、第２テンプレート１０３のハッシュ値を算出し、そのハッシュ値とハッシュ値１０５と比較し、一致した場合に、本人の確認を認証する。そして、サンプルにより第２テンプレート１０３を更新し、サンプルから算出したハッシュ値によりハッシュ値１０５を更新する。
【選択図】図１

Description

本発明は、バイオメトリクス情報が認証用情報として記録された可搬媒体を用いて本人確認をする本人確認方法、プログラムおよび取引処理装置に関する。

金融機関やコンビニエンスストアなどに設置されたＡＴＭ（Automatic Teller Machine）などの取引処理装置では、利用者が本人であることを確認するために、知識（暗証番号など）または所持品（キャッシュカードなど）を利用した認証が広く行われている。しかしながら、近年、悪意ある第三者がスキミングなどの手段により、他人の認証用の可搬媒体（磁気カードなどによるキャッシュカードなど）から記録されている情報を不正に読み取り、本人の知らないうちに同様の可搬媒体を偽造し、その偽造可搬媒体により本人になりすまして取引を行う事件が頻発している。

可搬媒体が偽造されるという問題に対して、特許文献１では、取引ごとに更新されるシリアル番号を可搬媒体とセンタの両方に記録し、取引処理装置で読み取った可搬媒体のシリアル番号とセンタ側のシリアル番号とを比較し、両者が一致しない場合には、偽造された可搬媒体が存在するとして、取引を中止する本人確認の方法が開示されている。

この本人確認の方法によれば、認証用の可搬媒体に記録された情報が第三者に不正に読み取られ、その情報が丸ごとコピーされて別体の可搬媒体が偽造された場合には、センタは、同じシリアル番号を有する２つの可搬媒体から本人確認を求められ、一方に正規のシリアル番号を付与すると、他方のシリアル番号は一致しないことになる。従って、センタにおけるシリアル番号の確認において、シリアル番号が一致しない場合には、偽造された可搬媒体が存在することになるので、センタはその取引を即時中止するとしている。

また、特許文献２には、バイオメトリクス情報（指紋、静脈、声紋、虹彩、筆跡などの情報）を利用した本人確認の方法が開示されている。その本人確認の方法によれば、あらかじめ認証装置側に利用者の基準となるバイオメトリクス情報を登録しておき、利用時に入力される本人のバイオメトリクス情報と照合することによって本人確認を行う。また、この本人確認の方法によれば、利用者が保持する認証用のＩＣカードに利用者の基準となるバイオメトリクス情報を登録しておくことにより、認証用のＩＣカードに認証装置の機能を持たせることができるとしている。
特開２００２−１３３４９８号公報 特開２００３−３０８３０２号公報

しかしながら、特許文献１に開示されている本人確認の方法では、第三者が認証用の可搬媒体を偽造し、正規の利用者が正規の可搬媒体を用いて正規の取引を行う前に、偽造した可搬媒体を用いて取引が行われた場合には、その取引を防止することができない。また、特許文献２に開示されているような認証用のＩＣカードを用いた本人確認の方法では、第三者が認証用のＩＣカードに記録されている情報を丸ごとコピーし、基準となるバイオメトリクス情報を改ざんして、認証用のＩＣカードを偽造した場合には、その偽造されたＩＣカードによる取引を防止することができない。

以上のように、従来技術においては、バイオメトリクス情報を認証用情報として用いる場合であっても、その認証の基準となる情報が可搬媒体に記録される限りは、その可搬媒体が窃盗され改ざんされた場合には、その不正使用を防止することができなかった。

そこで、本発明の目的は、本人認証用の可搬媒体にバイオメトリクス情報を認証用情報として記録する場合に、その認証用可搬媒体が窃盗され、または、その認証用可搬媒体に記録されている情報が不正に読み取られ、認証用可搬媒体が改ざん、または、偽造された場合であっても、その不正使用を防止することが可能な本人確認方法、プログラムおよび取引処理装置を提供することにある。

本発明は、利用者のバイオメトリクス情報と、認証用可搬媒体に設けられた第１の保存手段および第２の保存手段にそれぞれ保存された第１の認証用情報および第２の認証用情報と、センタに設けられた第３の保存手段に保存された第３の認証用情報とを用いて、利用者の本人確認を行う取引処理装置であり、その処理装置における本人確認方法であり、プログラムである。そして、前記取引処理装置は、前記利用者からその利用者のバイオメトリクス情報をサンプルとして取得するサンプル取得手段と、前記第１の保存手段および前記第２の保存手段からそれぞれ前記第１の認証用情報および前記第２の認証用情報を読み出すとともに、前記第２の保存手段へ前記サンプルを書き込む認証用情報読み書き手段とを備え、前記サンプル取得手段によって取得した前記サンプルを、前記認証用可搬媒体から読み出した前記第１の認証用情報および前記第２の認証用情報とそれぞれ照合し、その照合の結果、前記第１の認証用情報および前記第２の認証用情報のいずれもが前記サンプルと同一人物のものと判定された場合には、さらに、所定のハッシュ関数に基づき前記第２の認証用情報のハッシュ値を算出し、その算出したハッシュ値を前記第３の保存手段から読み出した前記第３の認証用情報と比較し、その比較の結果、前記算出したハッシュ値と前記第３の認証用情報とが一致した場合には、前記サンプルを前記第２の保存手段に書き込むことにより前記第２の認証用情報を更新し、前記所定のハッシュ関数に基づき前記更新した第２の認証用情報のハッシュ値を算出し、前記算出したハッシュ値を前記第３の保存手段に書き込むことにより前記第３の認証用情報を更新することを特徴とする。

本発明によれば、認証用可搬媒体の第１の保存手段および第２の保存手段に保存された第１の認証用情報および第２の認証用情報の一方または両方が悪意ある第三者によって改ざんされた場合であっても、センタの第３保存部には、改ざん前の正規の利用者のバイオメトリクス情報から算出されたハッシュ値が保存されている。そこで、そのハッシュ値と改ざんされたハッシュ値が比較されるので、その改ざんを検知することができ、その改ざんされた認証用可搬媒体の不正使用を防止することができる。

本発明により、本人認証用の可搬媒体が窃盗され、または、その認証用可搬媒体に記録されている情報が不正に読み取られ、認証用可搬媒体が改ざん、または、偽造された場合であっても、その不正使用を防止することができるようになる。

以下、本発明の実施形態について、適宜、図面を参照しながら詳しく説明する。

図１は、本発明の実施形態に係る本人確認システムの全体構成を示した図である。図１に示すように、本人確認システム１は、利用者カード１０、登録処理装置２０、取引処理装置３０、センタ４０、管理者カード６０を含んで構成され、登録処理装置２０および取引処理装置３０は、ネットワーク５０を介してセンタ４０に接続される。なお、本人確認システム１は、例えば、金融機関のオンラインＡＴＭシステムなどに適用される。

ここで、利用者カード１０は、本人確認システム１が適用されるアプリケーションシステム（例えば、オンラインＡＴＭシステムなど）の利用者に配布され、その利用者それぞれが所持する小型かつ軽量の情報記憶媒体であり、その情報記憶媒体としては、通常、ＩＣ（Integrated Circuits）カードや磁気カードなどが使用される。

利用者カード１０には、記憶領域として、第１保存部１１と第２保存部１２とが設けられ、その第１保存部１１には、利用者を一意に特定する利用者識別子１０１と、第１テンプレート１０２として利用者のバイオメトリクス情報が保持される。また、第２保存部１２には、取引処理のたびに更新される第２テンプレート１０３が保持される。これら第１のテンプレート１０２および第２テンプレート１０３は、その利用者カード１０の利用者であることを認証する認証用情報である。

なお、本実施形態では、利用者カード１０は、盗難されたり、スキミングされたりした場合には、第１テンプレート１０２、第２テンプレート１０３などの認証用情報を改ざんまたは偽造され得るものとみなす。

管理者カード６０は、登録処理装置２０を操作する権限を持つ者（登録管理者）だけに配布される小型かつ軽量の情報記憶媒体であり、その情報記憶媒体としては、利用者カード１０と同様に、通常、ＩＣカードや磁気カードなどが使用される。管理者カード６０には、記憶領域として、保存部６１が設けられ、保存部６１には、テンプレート１０６として、登録管理者のバイオメトリクス情報が保持される。

登録処理装置２０は、利用者カード１０の第１保存部１１に第１テンプレート１０２として利用者のバイオメトリクス情報を登録するための装置であり、例えば、金融機関の窓口などに設置され、窓口の職員（すなわち、登録の管理者）によって操作される端末装置である。

また、取引処理装置３０は、利用者カード１０から認証用情報の提供を受け、センタ４０と連携して、その利用者があらかじめ登録された利用者であるか否かを確認する。そして、利用者本人であることを確認した場合には、本人確認システム１のアプリケーションとしての所定の取引処理を行う。取引処理装置３０は、例えば、金融機関やコンビニエンスストアなどに設置されているＡＴＭ端末装置であり、利用者に対し現金預け入れや引き出しなどの取引処理を提供する。

また、センタ４０は、図示しないＣＰＵ（Central Processing Unit）と記憶装置とを少なくとも備えたコンピュータであり、その記憶装置には第３保存部４２が設けられる。そして、第３保存部４２には、利用者を一意に特定するための利用者識別子１０４と、利用者カード１０の第２保存部１２に保持されている第２テンプレート１０３に対して計算されたハッシュ値１０５との情報が組にして保持される。この利用者識別子１０４とハッシュ値１０５との組の情報は、登録処理装置２０によって登録された利用者の人数分だけ保持され、センタ４０は、ハッシュ値１０５を用いて利用者カード１０に記憶されている第２テンプレート１０３の有効性をチェックする。

なお、センタ４０の制御部４１は、登録処理装置２０からの要求に応じて、第３保存部４２に保持されているハッシュ値１０５の読み出しや更新処理などを実行する。なお、このような制御部４１の機能は、前記図示しないＣＰＵが記憶装置に格納されている所定のプログラムを実行することによって実現される。

図２は、本実施形態に係る取引処理装置のブロック構成を示した図である。図２に示すように、取引処理装置３０は、ＣＰＵ３０１、メモリ３０２、補助記憶装置３０３、センタ通信部３０４、カード読み書き部３０５、表示部３０６、操作部３０７、キャッシュモジュール部３０８、セキュリティチップ３０９などを含み、さらに、それらがバス３１０を介して相互に接続されて構成される。

ここで、メモリ３０２は、半導体メモリのＲＡＭ（Random Access Memory）などで構成され、ＣＰＵ３０１が実行するプログラムなどがロードされる。また、補助記憶装置３０３は、電源をオフにしても記憶されたデータが保存されるハードディスクなどによって構成される。また、センタ通信部３０４は、ＴＣＰ／ＩＰ（Transmission Control Protocol／Internet Protocol）や独自のプロトコルなどを利用し、専用回線またはＩＳＤＮ（Integrated Services Digital Network）回線などによるネットワーク５０を介してセンタ４０と通信する通信装置によって構成される。

また、カード読み書き部３０５は、利用者カード１０（または管理者カード６０）が保持するデータを読み取るとともに、利用者カード１０（または管理者カード６０）に対してデータを書き込む装置である。また、表示部３０６は、ＬＣＤ（Liquid Crystal Display）などで構成され、ＣＰＵ３０１が処理した結果などを表示する装置である。

また、操作部３０７は、暗証番号や取引額を入力するためのキーパッド、取引の種類などを指示するための各種ボタン、前記表示部３０６上に構成されるタッチパネル、さらには、利用者のバイオメトリクス情報を入力するためのバイオメトリクス入力装置などによって構成される装置である。また、キャッシュモジュール部３０８は、入金または出金に係る紙幣や硬貨を保管し、入金口または出金口を備え、利用者の要求する取引に応じて紙幣や硬貨を入金口から搬入または出金口へ搬送する装置である。

また、セキュリティチップ３０９は、耐タンパ性を備えた記憶装置であり、セキュリティチップ３０９ごとに固有の識別子が記録され、当該セキュリティチップ３０９と同等のチップを偽造することが困難なものである。

以上のように構成された取引処理装置３０は、さらに、サンプル取得部３１、照合部３２、テンプレート更新部３３などの機能ブロックを備える。これらの機能ブロックの機能は、ＣＰＵ３０１が補助記憶装置３０３から所定のプログラムをメモリ３０２にロードし、実行することによって実現される。ここで、サンプル取得部３１は、操作部３０７のバイオメトリクス入力装置によって利用者のバイオメトリクス情報（サンプル）を読み取るなどの機能を備える。また、照合部３２は、利用者カード１０に保持されている第１テンプレート１０２または第２テンプレート１０３と、サンプル取得部３１によって取得されたサンプルとを照合するなどの機能を備える。また、テンプレート更新部３３は、所定の取引処理成立後に、サンプル取得部３１によって取得されたサンプルにより利用者カード１０の第２テンプレート１０３を更新する機能などを備える。なお、これらの機能ブロックの機能として、ＣＰＵ３０１が実行する処理の詳細については、別途、図４を用いて説明する。

なお、詳細な説明を省略するが、登録処理装置２０も、図２に示した取引処理装置３０と同様の構成となる。ただし、相違点として、登録処理装置２０は、キャッシュモジュール部３０８を含まない。そして、前記登録処理装置２０は、自らを操作する者が権限を有するかどうかを判定する管理者確認部２１、利用者のバイオメトリクス情報を読み取るサンプル取得部２２、サンプル取得部２２が読み取った利用者のバイオメトリクス情報を利用者カード１０の第１テンプレート１０２およびを第２テンプレート１０３に保存して初期化するテンプレート初期化部２３などの機能を備える。なお、これらの機能は、登録処理装置２０のＣＰＵ３０１が補助記憶装置３０３から所定のプログラムをメモリ３０２にロードし、実行することによって実現される。

次に、図３および図４を参照（適宜、図１および図２も参照）して本人確認システム１における本人確認処理の流れについて説明する。ここで、図３は、本実施形態に係る登録処理装置における利用者カードの登録処理の流れを示した図、図４は、本実施形態に係る取引処理装置おける本人確認処理の流れを示した図である。

図３において、登録処理装置２０は、まず、管理者確認部２１の処理として、管理者カード６０をカード読み書き部３０５に挿入するのを促すメッセージを表示部３０６に表示し、利用者（この場合は、登録の管理者）に対し管理者カード６０の挿入を要求する（ステップＳ２０１）。管理者がカードを挿入すると、登録処理装置２０は、挿入されたカードの情報を読み取り、そのカードが所定の管理者カード６０であるか否かを判定する（ステップＳ２０２）。その判定の結果、挿入されたカードが管理者カード６０でなかった場合には（ステップＳ２０２でＮｏ）、登録処理装置２０は、挿入されたカードを返却し（ステップＳ２０４）、登録処理を終了する。また、挿入されたカードが管理者カード６０であった場合には（ステップＳ２０２でＹｅｓ）、管理者カード６０の保存部６１からテンプレート１０６を読み込み（ステップＳ２０３）、管理者カード６０を返却する（ステップＳ２０５）。

次に、登録処理装置２０は、サンプル取得部２２の処理として、管理者に対しバイオメトリクス情報を入力するよう促すメッセージを表示部３０６に表示し、管理者が操作部３０７を介して自身のバイオメトリクス情報を入力すると、入力されたバイオメトリクス情報をサンプルとして読み取る（ステップＳ２０６）。そして、読み取ったサンプルとテンプレート１０６とを照合し、管理者本人であるか否かを判定する（ステップＳ２０７）。その判定の結果、管理者本人でなかった場合には（ステップＳ２０７でＮｏ）、登録処理を終了する。一方、管理者本人であった場合には（ステップＳ２０７でＹｅｓ）、登録処理装置２０は、次に、テンプレート初期化部２３の処理を行う。

なお、ステップＳ２０７においては、２つの指紋などのバイオメトリクス情報を照合するが、その照合において、例えば、２つのバイオメトリクス情報について公知のパターンマッチング処理などを行い、その処理によって得られるのパターンの一致度などの値が所定値以上であれば、同一人物のバイオメトリクス情報とみなす。

登録処理装置２０は、テンプレート初期化部２３の処理として、利用者カード１０をカード読み書き部３０５に挿入するよう促すメッセージを表示部３０６に表示し、利用者に対し利用者カード１０の挿入を要求する（ステップＳ２０８）。利用者がカードを挿入すると、登録処理装置２０は、挿入されたカードの情報を読み取り、そのカードが所定の利用者カード１０であるか否かを判定する（ステップＳ２０９）。その判定の結果、挿入されたカードが利用者カード１０でなかった場合には（ステップＳ２０９でＮｏ）、登録処理装置２０は、挿入されたカードを返却し（ステップＳ２１７）、登録処理を終了する。また、挿入されたカードが利用者カード１０であった場合には（ステップＳ２０９でＹｅｓ）、登録処理装置２０は、操作部３０７から利用者のバイオメトリクス情報を入力するよう表示部３０６に表示し、利用者が操作部３０７を介して自身のバイオメトリクス情報を入力すると、入力されたバイオメトリクス情報を利用者のサンプルとして読み取る（ステップＳ２１０）。

続いて、登録処理装置２０は、読み取った利用者のサンプルをもとに第１テンプレート１０２を作成し（ステップＳ２１１）、利用者カード１０の第１保存部１１に保存し（ステップＳ２１２）、さらに、第１テンプレート１０２と同じデータを第２テンプレート１０３として利用者カード１０の第２保存部１２に保存する（ステップＳ２１３）。また、さらに、登録処理装置２０は、所定のハッシュ関数に基づき第２テンプレート１０３のハッシュ値を算出し（ステップＳ２１４）、算出したハッシュ値と、登録処理装置２０のセキュリティチップ３０９に保管されている識別子の情報とをセンタ４０へ送信する。

センタ４０は、制御部４１の処理として、送信されてきた識別子の情報に基づき、それらの情報を送信した装置が正当な装置であるか否かを判定する（ステップＳ２１５）。その判定の結果、正当な装置でなかった場合には（ステップＳ２１５でＮｏ）、「装置が正当でない」旨を登録処理装置２０へ通知する。また、正当な装置であった場合には（ステップＳ２１５でＹｅｓ）、センタ４０は、送信されてきたハッシュ値を第３保存部４２に保存し（ステップＳ２１６）、「ハッシュ値を保存した」旨を登録処理装置２０へ通知する。

登録処理装置２０は、これらの通知を受けると、利用者に利用者カード１０を返却し（ステップＳ２１７）、登録処理を終了する。ただし、「装置が正当でない」旨の通知を受けた場合には、登録処理は完了せず、返却された利用者カード１０は、有効な利用者カード１０として使用できるようにはならない。一方、「ハッシュ値を保存した」旨の通知を受けた場合には、利用者カード１０の登録が完了したことになり、返却された利用者カード１０は、有効な利用者カード１０として使用することができるようになる。

なお、以上に説明した登録処理装置２０における登録処理は、利用者カード１０の第１テンプレート１０２を更新する場合にも利用することができる。

次に、図４を参照し、取引処理装置３０が実行する本人確認処理について説明する。すなわち、取引処理装置３０は、利用者カード１０によって自らを利用しようとしている者が、その利用者カード１０に登録されている者に相違ないことを確認する。

まず、取引処理装置３０は、サンプル取得部３１の処理として、利用者カード１０をカード読み書き部３０５に挿入するよう促すメッセージを表示部３０６に表示し、利用者に対し利用者カード１０の挿入を要求する（ステップＳ５０１）。さらに、取引処理装置３０は、利用者に対しバイオメトリクス情報の入力を促すメッセージを表示部３０６に表示する。そして、利用者が操作部３０７を介して自身のバイオメトリクス情報を入力すると、取引処理装置３０は、入力されたバイオメトリクス情報をサンプルとして読み取る（ステップＳ５０２）。

次に、取引処理装置３０は、照合部３２の処理として、利用者カード１０の第１保存部１１から第１テンプレート１０２を、第２保存部１２から第２テンプレート１０３を読み出し（ステップＳ５０３）、その読み出した第１テンプレート１０２および第２テンプレート１０３をそれぞれ、ステップＳ５０２で読み取った利用者のバイオメトリクス情報のサンプルと照合する（ステップＳ５０４）。

なお、ステップＳ５０４においては、２つのバイオメトリクス情報を照合するが、その照合において、例えば、２つのバイオメトリクス情報について公知のパターンマッチング処理などを行い、その処理によって得られるパターンの一致度などの値が所定値以上であれば、同一人物のバイオメトリクス情報とみなす。

そこで、その照合の結果、第１テンプレート１０２および第２テンプレート１０３の少なくとも一方がサンプルと同一人物のものでないと判定された場合には（ステップＳ５０５でＮｏ）、取引処理装置３０は、「利用者カード１０の登録者と利用者とが相違する」と判断し、利用者カード１０を返却して（ステップＳ５１８）、本人確認処理を終了する。また、第１テンプレート１０２および第２テンプレート１０３のいずれもサンプルと同一人物のものであると判定された場合には（ステップＳ５０５でＹｅｓ）、取引処理装置３０は、所定のハッシュ関数に基づき、ステップＳ５０３で読み出した第２テンプレート１０３のハッシュ値を算出する（ステップＳ５０６）。また、取引処理装置３０は、センタ４０からその第３保存部４２に保存されているハッシュ値１０５を読み出し（ステップＳ５０７）、そのハッシュ値１０５がステップ５０６で算出したハッシュ値と一致するか否かを判定する（ステップＳ５０８）。

その判定の結果、これらのハッシュ値が一致しなかった場合には（ステップＳ５０８でＮｏ）、取引処理装置３０は、「利用者カード１０の登録者と利用者とが相違する」と判断し、利用者カード１０を返却して（ステップＳ５１８）、本人確認処理を終了する。

また、ハッシュ値が一致した場合には（ステップＳ５０８でＹｅｓ）、取引処理装置３０は、テンプレート更新部３３の処理として、ステップＳ５０２で読み取った利用者のバイオメトリクス情報のサンプルによって第２テンプレート１０３を更新し（ステップＳ５０９）、さらに、更新した第２テンプレート１０３を利用者カード１０の第２保存部１２に上書きする（ステップＳ５１０）。そして、第２保存部１２への上書きの更新が成功したか否かをチェックし（ステップＳ５１１）、その更新に成功していなかった場合には（ステップＳ５１１でＮｏ）、第２保存部１２に保存する第２テンプレートのデータを元に戻す（ステップＳ５１７）。

また、更新に成功していた場合には（ステップＳ５１１でＹｅｓ）、所定のハッシュ関数に基づき更新した第２テンプレート１０３のハッシュ値を算出し（ステップＳ５１２）、算出したハッシュ値と、取引処理装置３０のセキュリティチップ３０９に保管されている識別子の情報とをセンタ４０へ送信する。

センタ４０は、制御部４１の処理として、取引処理装置３０から送信されてきた識別子の情報に基づき、それらの情報を送信した装置が正当な装置であるか否かを判定する（ステップＳ５１３）。その判定の結果、正当な装置でなかった場合には（ステップＳ５１３でＮｏ）、「装置が正当でない」旨を取引処理装置３０へ通知する。また、正当な装置であった場合には（ステップＳ５１３でＹｅｓ）、取引処理装置３０から送信されてきたハッシュ値を第３保存部４２に上書きし（ステップＳ５１４）、さらに、その上書きの更新が成功したか否かをチェックする（ステップＳ５１５）。そして、その更新に成功していなかった場合には（ステップＳ５１５でＮｏ）、「更新失敗」の旨を取引処理装置３０へ通知する。また、更新に成功していた場合には（ステップＳ５１５でＹｅｓ）、「更新成功」の旨を取引処理装置３０へ通知する。

取引処理装置３０は、センタ４０から「装置が正当でない」または「更新失敗」の旨の通知を受けた場合には、利用者カード１０の第２保存部１２に保存する第２テンプレート１０３のデータを元に戻し（ステップＳ５１７）、利用者カード１０を返却して（ステップＳ５１８）、本人確認処理を「確認失敗」として終了する。また、取引処理装置３０は、センタ４０から「更新成功」の旨の通知を受けた場合には、所定の取引処理（例えば、現金の預け入れや、引き出しなどの処理）の実行を開始する（ステップＳ５１６）とともに、利用者カード１０を返却して（ステップＳ５１８）、本人確認処理を終了する。

続いて、以上に説明した本人確認システム１における本人確認のセキュリティの効果について、図５および図６を参照して説明する。ここで、図５は、本実施形態に係る取引処理装置により、利用者本人が利用者カードを用い、利用者カード登録後Ｎ回目までの取引処理を行う場合について、サンプルとテンプレートとの照合の様子を示した図である。また、図６は、本実施形態に係る取引処理装置における本人確認において、Ｎ回目の取引後に悪意ある第三者が利用者カードを改ざんした場合について、サンプルとテンプレートとの照合の様子を示した図であり、（ａ）は、第１テンプレートが改ざんされた場合、（ｂ）は、第１テンプレートおよび第２テンプレートの両方が改ざんされた場合を説明する図である。

図５に示すように、本人確認システム１は、１回目の本人確認において、当該利用者カード１０の利用者Ａを認証するために、利用者Ａのバイオメトリクス情報のサンプル（以下、単にサンプルという）「Ｓ（１）」と第１テンプレート「Ｔ（１）」とを照合し、第２テンプレート「Ｕ（１）（初回は、Ｔ（１）と同じ）」のハッシュ値とセンタ４０に保存されているハッシュ値「Ｃ（１）」とを照合し、さらに、サンプル「Ｓ（１）」と第２テンプレート「Ｕ（１）」とを照合する。そして、これらの照合がすべて成功したときに、当該利用者カード１０の利用者Ａが本人であることを認証するとともに、次回の認証のために、第２テンプレート「Ｕ（１）」をサンプル「Ｓ（１）」によって「Ｕ（２）」に更新し、ハッシュ値「Ｃ（１）」を「Ｕ（２）」から算出されるハッシュ値「Ｃ（２）」に更新する。以上で１回目の本人確認を完了する。

次に、２回目の本人確認においてにおいて、同様に、利用者Ａのサンプル「Ｓ（２）」と第１テンプレート「Ｔ（１）」とを照合し、第２テンプレート「Ｕ（２）」のハッシュ値とセンタ４０に保存されているハッシュ値「Ｃ（２）」とを照合し、さらに、サンプル「Ｓ（２）」と第２テンプレート「Ｕ（２）」とを照合することによって、利用者Ａが本人であることを認証する。そして、第２テンプレート「Ｕ（２）」をサンプル「Ｓ（２）」によって「Ｕ（３）」に更新し、ハッシュ値「Ｃ（２）」を「Ｕ（３）」から算出されるハッシュ値「Ｃ（３）」に更新する。

さらに、同様に、Ｎ回目の本人確認において、利用者Ａのサンプル「Ｓ（Ｎ）」と第１テンプレート「Ｔ（１）」とを照合し、第２テンプレート「Ｕ（Ｎ）」のハッシュ値とセンタ４０に保存されているハッシュ値「Ｃ（Ｎ）」とを照合し、さらに、サンプル「Ｓ（Ｎ）」と第２テンプレート「Ｕ（Ｎ）」とを照合することによって、利用者Ａが本人であることを認証する。そして、第２テンプレート「Ｕ（Ｎ）」をサンプル「Ｓ（Ｎ）」によって「Ｕ（Ｎ＋１）」に更新し、ハッシュ値「Ｃ（Ｎ）」を「Ｕ（Ｎ＋１）」から算出されるハッシュ値「Ｃ（Ｎ＋１）」に更新する。

なお、以上の照合の過程において、サンプルがバイメトリクス情報である場合、サンプル「Ｓ（ｉ）」と前記テンプレート「Ｔ（１）」とが完全に一致することはほとんどあり得ず、また、ｉ回目の取引におけるサンプル「Ｓ（ｉ）」と、ｉ＋１回目の取引におけるサンプル「Ｓ（ｉ＋１）」とが完全に一致することもほとんどあり得ない。例えば、指紋情報がサンプルとなる場合、利用者が同一であっても、指を操作部３０７に指を当てるときの角度や接触面への押し付け具合が違ったり、手指の荒れ具合が違ったりすると、サンプル取得部３１によって取得される指紋情報は、その都度、異なった情報となる。

しかしながら、取得される指紋情報が完全に一致しなくても、同一の利用者から取得される指紋情報は一致すると判断する必要がある。そこで、本実施形態では、指紋情報などバイオメトリクス情報の照合を行う場合には、照合対象のバイオメトリクス情報の画像情報などに対し、公知のパターンマッチング処理を施し、画像の一致度などの情報を求める。そして、その一致度などの情報が所定の値以上であれば、２つのバイオメトリクス情報は一致している、つまり、それら２つのバイオメトリクスの情報は同一人物のものであると判定する。

一方、バイオメトリクス情報の場合、取得されるサンプル「Ｓ（ｉ）」はその都度異なるため、ｉ回目の第２テンプレート「Ｕ（ｉ）」とｉ＋１回目の第２テンプレート「Ｕ（ｉ＋１）」とが同じになることはほとんどあり得ない。従って、第２テンプレート「Ｕ（ｉ）」から算出されるハッシュ値「Ｃ（ｉ）」は、その都度異なった値となる。すなわち、Ｃ（ｉ）≠Ｃ（ｉ＋１）となる。この事実を利用して、次に説明するように、利用者カード１０の安全性を高めることができる。

次に、悪意ある第三者（利用者Ｂ）が、利用者Ａの利用者カード１０を窃盗、または、スキミングなどによりその記録情報を入手した場合を想定する。この場合、利用者カード１０に記録されている第１テンプレート１０２は、利用者Ａのバイオメトリクス情報なので、当然ながら利用者Ｂは使用することができない。そこで、利用者Ｂは、利用者Ａの利用者カード１０を改ざんし、その第１テンプレート１０２を自分のバイオメトリクス情報で置き換える。

すなわち、図６（ａ）に示すように、利用者Ａが所定の取引にＮ回使用した利用者カード１０を、利用者Ｂがその第１テンプレートの内容を「Ｔ（１）」から「Ｔ（２）」に改ざんし、Ｎ＋１回目の取引に使用する。この場合、利用者Ｂのサンプル「Ｓ（Ｎ＋１）」は、第１テンプレート「Ｔ（２）」と一致する。しかしながら、利用者Ｂのサンプル「Ｓ（Ｎ＋１）」は第２テンプレート「Ｕ（Ｎ＋１）」と一致しない。従って、その改ざんされた利用者カード１０による利用者Ｂの本人確認は成功しないので、利用者Ｂは、所定の取引を行うことができない。

また、利用者Ｂが第２テンプレート１０３を自分のバイオメトリクス情報に置き換え、利用者Ａの利用者カード１０を改ざんして使用した場合にも、同様に、改ざんされた利用者カード１０による利用者Ｂの本人確認は成功しない。従って、利用者Ｂは、所定の取引を行うことができない。

次に、利用者Ｂは、利用者Ａの利用者カード１０を改ざんし、第１テンプレート１０２、第２テンプレート１０３のいずれも自分のバイオメトリクス情報に置き換える。すなわち、図６（ｂ）に示すように、利用者ＡによるＮ回の取引が行われた後に、利用者Ｂは、第１テンプレートの内容を「Ｔ（１）」から「Ｔ（２）」へ、また、第２テンプレートの内容を「Ｕ（Ｎ＋１）」から「Ｕ（Ｎ＋２）」へ改ざんし、Ｎ＋１回目の取引に使用する。この場合、利用者Ｂのサンプル「Ｓ（Ｎ＋１）」は、第１テンプレート「Ｔ（２）」ととも、第２テンプレート「Ｕ（Ｎ＋２）」ととも一致する。

しかしながら、第２テンプレート「Ｕ（Ｎ＋２）」から算出されるハッシュ値は、センタ４０の第３保存部４２に保存されているハッシュ値「Ｃ（Ｎ＋１）」と一致しない。ハッシュ値「Ｃ（Ｎ＋１）」は、前回（Ｎ回目）の取引のときに入力された利用者Ａのバイオメトリクス情報をもとに算出された値だからである。従って、この場合にも、改ざんされた利用者カード１０による利用者Ｂの本人確認は成功せず、利用者Ｂは、所定の取引を行うことができない。

以上のように、本実施形態によれば、利用者カード１０に記録されている第１テンプレート１０２および第２テンプレート１０３の一方または両方が改ざんされたとしても、本人確認処理においてその利用者カード１０による本人確認を失敗させることができるので、利用者カード１０の改ざんまたは偽造によって本人になりすました不正な取引を防止することができる。

また、本実施形態において取引処理装置３０とセンタ４０との間でネットワーク５０を介して送受信される情報は、バイオメトリクス情報のハッシュ値であり、利用者のサンプルつまり利用者のバイオメトリクス情報が送受信されることはない。バイオメトリクス情報は、画像情報など情報量の大きい情報であるとともに、個人のプライバシに係る個人情報である。従って、情報量の大きい情報がネットワーク５０を介して送受信されないことにより、ネットワーク５０の通信負荷をかけずに済む。また、個人情報がネットワーク５０を介して送受信されないことにより、ネットワーク５０上で盗聴などにより個人情報が第三者に不正に取得されるのを防ぐことができる。

（実施形態の変形例）
次に、図７〜図１０を参照して、以上に説明した実施形態で、利用者カード１０の第１保存部１１または第２保存部１２のいずれか一方を使用しないようにした実施形態の変形例について説明する。ここで、図７は、本実施形態および本実施形態の変形例における第１保存部、第２保存部および第３保存部の使用方法を示した図であり、図８は、本実施形態の変形例の第１のケースにおけるサンプルとテンプレートとの照合の様子を示した図である。また、図９は、本実施形態の変形例の第1のケースに係る取引処理装置おける本人確認処理の流れを示した図、図１０は、本実施形態の変形例の第２のケースに係る取引処理装置おける本人確認処理の流れを示した図である。

実施形態の変形例の第１のケースでは、図７の（ｂ）の欄に示すように、第１テンプレートを第１保存部１１に保存し、第２テンプレートを第３保存部４２に保存し、第２保存部およびハッシュ値を使用しない。また、実施形態の変形例の第２のケースでは、図７の（ｃ）の欄に示すように、第２テンプレートを第２保存部１２に保存し、第１テンプレートおよびハッシュ値を第３保存部４２に保存し、第１保存部を使用しない。なお、図７の（ａ）の欄は、今まで説明してきた実施形態における第１テンプレート、第２テンプレートおよびハッシュ値の保存先を、参考のために示したものである。

（実施形態の変形例の第１のケース）
次に、実施形態の変形例の第１のケースについて、図８を用いて、改ざんされた利用者カード１０では本人確認ができないことを示す。

まず、図８（ａ）に示すように利用者ＡがＮ回目までの取引を行うときには、取引処理装置３０は、利用者Ａのバイオメトリクス情報であるサンプル「Ｓ（ｉ）」と第１テンプレート「Ｔ（１）」とを照合し、さらに、サンプル「Ｓ（ｉ）」と第２テンプレート「Ｕ（ｉ）」とを照合し、両者の照合が成功したときに利用者本人であると判定し、所定の取引処理を開始するとともに、第２テンプレート「Ｕ（ｉ）」をサンプル「Ｓ（ｉ）」によって「Ｕ（ｉ＋１）」に更新する（ここで、ｉ＝１，…，Ｎ）。

このようにして、利用者ＡによってＮ回目の取引が行われた後に、利用者Ｂを改ざんして、第１テンプレート「Ｔ（１）」を自分のバイオメトリクス情報に置き換え、「Ｔ（２）」とし、その改ざんした利用者カード１０を使用する。この場合、図８（ｂ）に示すように、利用者Ｂのサンプル「Ｓ（Ｎ＋１）」は、第１テンプレート「Ｔ（２）」と一致するが、センタ４０の第３保存部４２に保存されている第２テンプレート「Ｕ（Ｎ＋１）」とは一致しない。従って、改ざんされた利用者カード１０による利用者Ｂの本人確認は成功せず、利用者Ｂは、所定の取引を行うことができない。

次に、図９を参照し（適宜、図１および図２も参照）、実施形態の変形例の第１のケースにおける本人確認処理の流れについて説明する。なお、本ケースでは、図１の利用者カード１０の第２保存部１２は、使用されないので、物理的に設けられていないものとしてもよい。また、第２テンプレート１０３は第３保存部４２に保存されるものとし、ハッシュ値１０５は使用されない。

まず、取引処理装置３０は、サンプル取得部３１の処理として、利用者カード１０をカード読み書き部３０５に挿入するよう促すメッセージを表示部３０６に表示し、利用者に対し利用者カード１０の挿入を要求する（ステップＳ９０１）。さらに、取引処理装置３０は、利用者に対しバイオメトリクス情報の入力を促すメッセージを表示部３０６に表示する。そして、利用者が操作部３０７を介して自身のバイオメトリクス情報を入力すると、取引処理装置３０は、入力されたバイオメトリクス情報をサンプルとして読み取る（ステップＳ９０２）。

次に、取引処理装置３０は、照合部３２の処理として、利用者カード１０の第１保存部１１から第１テンプレート１０２を読み出す（ステップＳ９０３）とともに、一方では、センタ４０へ問い合わせて（ステップＳ９０４）、センタ４０の第３保存部４２から第２テンプレート１０３を読み出す（ステップＳ９０５）。そして、これら読み出した第１テンプレート１０２および第２テンプレート１０３それぞれを、ステップＳ９０２で読み取った利用者のバイオメトリクス情報のサンプルと照合し、第１テンプレート１０２および第２テンプレート１０３の少なくとも一方がサンプルと同一人物のものでないと判定された場合には（ステップＳ９０６でＮｏ）、取引処理装置３０は、「利用者カード１０の登録者と利用者とが相違する」と判断し、利用者カード１０を返却して（ステップＳ９１３）、本人確認処理を終了する。

また、前記照合において、第１テンプレート１０２および第２テンプレート１０３のいずれもサンプルと同一人物のものであると判定された場合には（ステップＳ９０６でＹｅｓ）、取引処理装置３０は、ステップＳ９０３で読み取った利用者のバイオメトリクス情報のサンプルをもとに新たなテンプレートを作成し、センタ４０に対し、その新たなテンプレートにより第２テンプレートを更新することを要求する（ステップＳ９０７）。

センタ４０は、制御部４１の処理として、前記利用者のバイオメトリクス情報のテンプレートに付して取引処理装置３０から送信されてきた取引処理装置３０のセキュリティチップ３０９の識別子の情報に基づき、その情報を送信した装置が正当な装置であるか否かを判定する（ステップＳ９０８）。その判定の結果、正当な装置でなかった場合には（ステップＳ９０８でＮｏ）、「装置が正当でない」旨を取引処理装置３０へ通知する。また、正当な装置であった場合には（ステップＳ９０８でＹｅｓ）、取引処理装置３０から送信されてきた利用者のバイオメトリクス情報を第３保存部４２に上書きし（ステップＳ９０９）、さらに、その上書きの更新が成功したか否かをチェックする（ステップＳ９１０）。そして、その更新に成功していた場合には（ステップＳ９１０でＹｅｓ）、「更新成功」の旨を取引処理装置３０へ通知する。また、更新に成功していなかった場合には（ステップＳ９１０でＮｏ）、第３保存部４２の第２テンプレートのデータを元に戻し（ステップＳ９１２）、「更新失敗」の旨を取引処理装置３０へ通知する。

取引処理装置３０は、センタ４０から「装置が正当でない」または「更新失敗」の旨の通知を受けた場合には、利用者カード１０を返却して（ステップＳ９１３）、本人確認処理を「確認失敗」として終了する。また、取引処理装置３０は、センタ４０から「更新成功」の旨の通知を受けた場合には、所定の取引処理（例えば、現金の預け入れや、引き出しなどの処理）の実行を開始する（ステップＳ９１１）とともに、利用者カード１０を返却して（ステップＳ９１３）、本人確認処理を終了する。

（変形例の第２のケース）
変形例の第２のケースにおいて、改ざんされた利用者カード１０が検知される原理は、図６での説明と同じである。ただし、本ケースの場合には、第１テンプレート１０２は、カード１０ではなくセンタ４０に保存される。従って、図７の（ｃ）では、カード１０の第１保存部１１は使用されず、第１テンプレート１０２は、ハッシュ値とともにセンタ４０の第３保存部４２に保存されるとしているが、第１保存部１２がカード１０ではなくセンタ４０にあるとすると、図６の説明は本ケースにそのまま適用できる。すなわち、本ケースにおいても、改ざんされた利用者カード１０による本人確認は成功せず、改ざんした第三者は、所定の取引を行うことができない。

次に、図１０を参照し（適宜、図１および図２も参照）、実施形態の変形例の第２のケースにおける本人確認処理の流れについて説明する。なお、ここでは、第１保存部１１は、カード１０ではなくセンタ４０にあるとして説明する。

まず、取引処理装置３０は、サンプル取得部３１の処理として、利用者カード１０をカード読み書き部３０５に挿入するよう促すメッセージを表示部３０６に表示し、利用者に対し利用者カード１０の挿入を要求する（ステップＳ１０１）。さらに、取引処理装置３０は、利用者に対しバイオメトリクス情報の入力を促すメッセージを表示部３０６に表示する。そして、利用者が操作部３０７を介して自身のバイオメトリクス情報を入力すると、取引処理装置３０は、入力されたバイオメトリクス情報をサンプルとして読み取る（ステップＳ１０２）。

次に、取引処理装置３０は、照合部３２の処理として、利用者カード１０の第２保存部１２から第２テンプレート１０３を読み出す（ステップＳ１０３）とともに、一方では、センタ４０へ問い合わせて（ステップＳ１０４）、センタ４０の第３保存部４２から第１テンプレート１０２を読み出す（ステップＳ１０５）。そして、これら読み出した第１テンプレート１０２および第２テンプレート１０３それぞれを、ステップＳ１０２で読み取った利用者のバイオメトリクス情報のサンプルと照合し、第１テンプレート１０２および第２テンプレート１０３の少なくとも一方がサンプルと同一人物のものでないと判定された場合には（ステップＳ１０６でＮｏ）、取引処理装置３０は、「利用者カード１０の登録者と利用者とが相違する」と判断し、利用者カード１０を返却して（ステップＳ１１９）、本人確認処理を終了する。

また、前記照合において、第１テンプレート１０２および第２テンプレートのいずれもサンプルと同一人物のものであると判定された場合には（ステップＳ１０６でＹｅｓ）、取引処理装置３０は、所定のハッシュ関数に基づき、ステップＳ１０３で読み出した第２テンプレート１０３のハッシュ値を算出する（ステップＳ１０７）。また、取引処理装置３０は、センタ４０からその第３保存部４２に保存されているハッシュ値１０５を読み出し（ステップＳ１０８）、そのハッシュ値１０５がステップＳ１０７で算出したハッシュ値と一致するか否かを判定する（ステップＳ１０９）。

以下、ステップＳ１０９〜ステップＳ１１９までの処理は、それぞれ、図４のステップＳ５０８〜ステップＳ５１８までの処理と同じであるので、説明を省略する。

実施形態は、このほかにも、さらに、種々変更することが可能である。例えば、以上の実施形態においては、登録処理装置２０は、ネットワーク５０を介して、センタ４０に接続されているとしているが、センタ４０の機能が登録処理装置２０に含まれる構成であっても構わない。また、以上の実施形態では、第２テンプレート１０３に基づきハッシュ値１０５を算出し、算出したハッシュ値１０５をセンタ４０の第３保存部４２に保存するとしているが、第２テンプレート１０３に基づき算出する値は、ハッシュ値１０５に代え、データ通信などの分野で用いられている剰余符号やチェックサムとしてもよい。

本発明の実施形態に係る本人確認システムの全体構成を示した図である。 本発明の実施形態に係る取引処理装置のブロック構成を示した図である。 本発明の実施形態に係る登録処理装置における利用者カードの登録処理の流れを示した図である。 本発明の実施形態に係る取引処理装置おける本人確認処理の流れを示した図である。 本発明の実施形態に係る取引処理装置により、利用者本人が利用者カードを用い、利用者カード登録後Ｎ回目までの取引処理を行う場合について、テンプレートの照合の様子を示した図である。 本発明の実施形態に係る取引処理装置に係る本人確認において、Ｎ回目の取引後に悪意ある第三者が利用者カードを改ざんした場合について、サンプルとテンプレートとの照合の様子を示した図であり、（ａ）は、第１テンプレートが改ざんされた場合、（ｂ）は、第１テンプレートおよび第２テンプレートの両方が改ざんされた場合を説明する図である。 本発明の実施形態および実施形態の変形例における第１保存部、第２保存部および第３保存部の使用方法を示した図である。 本発明の実施形態の変形例の第１のケースにおけるサンプルとテンプレートとの照合の様子を示した図である。 本実施形態の変形例の第1のケースに係る取引処理装置おける本人確認処理の流れを示した図である。 本実施形態の変形例の第２のケースに係る取引処理装置おける本人確認処理の流れを示した図である。

符号の説明

１ 本人確認システム
１０ 利用者カード
１１ 第１保存部
１２ 第２保存部
２０ 登録処理装置
２１ 管理者確認部
２２ サンプル取得部
２３ テンプレート初期化部
３０ 取引処理装置
３１ サンプル取得部
３２ 照合部
３３ テンプレート更新部
４０ センタ
４１ 制御部
４２ 第３保存部
５０ ネットワーク
６０ 管理者カード
６１ 保存部
１０１ 利用者識別子
１０２ 第１テンプレート
１０３ 第２テンプレート
１０４ 利用者識別子
１０５ ハッシュ値
１０６ テンプレート
３０１ ＣＰＵ
３０２ メモリ
３０３ 補助記憶装置
３０４ センタ通信部
３０５ カード読み書き部
３０６ 表示部
３０７ 操作部
３０８ キャッシュモジュール部
３０９ セキュリティチップ
３１０ バス

Claims (9)

1. 利用者のバイオメトリクス情報と、認証用可搬媒体に設けられた第１の保存手段および第２の保存手段にそれぞれ保存された第１の認証用情報および第２の認証用情報と、センタに設けられた第３の保存手段に保存された第３の認証用情報とを用いて、利用者の本人確認を行う取引処理装置における本人確認方法であって、
   前記取引処理装置が、
   前記利用者からその利用者のバイオメトリクス情報をサンプルとして取得するサンプル取得手段と、
   前記第１の保存手段および前記第２の保存手段からそれぞれ前記第１の認証用情報および前記第２の認証用情報を読み出すとともに、前記第２の保存手段へ前記サンプルを書き込む認証用情報読み書き手段と
   を備え、
   前記サンプル取得手段によって取得した前記サンプルを、前記認証用可搬媒体から読み出した前記第１の認証用情報および前記第２の認証用情報とそれぞれ照合し、
   その照合の結果、前記第１の認証用情報および前記第２の認証用情報のいずれもが前記サンプルと同一人物のものと判定された場合には、さらに、所定のハッシュ関数に基づき前記第２の認証用情報のハッシュ値を算出し、その算出したハッシュ値を前記第３の保存手段から読み出した前記第３の認証用情報と比較し、
   その比較の結果、前記算出したハッシュ値と前記第３の認証用情報とが一致した場合には、前記サンプルを前記第２の保存手段に書き込むことにより前記第２の認証用情報を更新し、前記所定のハッシュ関数に基づき前記更新した第２の認証用情報のハッシュ値を算出し、前記算出したハッシュ値を前記第３の保存手段に書き込むことにより前記第３の認証用情報を更新すること
   を特徴とする本人確認方法。
2. 利用者のバイオメトリクス情報と、認証用可搬媒体に設けられた第１の保存手段に保存された利用者のバイオメトリクス情報に基づく第１の認証用情報と、センタに設けられた第２の保存手段に保存された第２の認証用情報とを用いて、利用者の本人確認を行う取引処理装置における本人確認方法であって、
   前記取引処理装置が、
   前記利用者からその利用者のバイオメトリクス情報をサンプルとして取得するサンプル取得手段と、
   前記第１の保存手段から前記第１の認証用情報を読み出す認証用情報読み出し手段と
   を備え、
   前記サンプル取得手段によって取得した前記サンプルを、前記認証用可搬媒体から読み出した前記第１の認証用情報と照合し、
   その照合の結果、前記第１の認証用情報が前記サンプルと同一人物のものと判定された場合には、さらに、前記サンプルを前記センタの前記第２の保存手段から読み出した前記第２の認証用情報と照合し、
   その照合の結果、前記第２の認証用情報が前記サンプルと同一人物のものと判定された場合には、前記サンプルを前記第２の保存手段に書き込むことによって前記第２の認証用情報を更新すること
   を特徴とする本人確認方法。
3. 利用者のバイオメトリクス情報と、認証用可搬媒体に設けられた第１の保存手段に保存された第１の認証用情報と、センタに設けられた第２の保存手段および第３の保存手段にそれぞれ保存された第２の認証用情報および第３の認証用情報とを用いて、利用者の本人確認を行う取引処理装置における本人確認方法であって、
   前記取引処理装置が、
   前記利用者からその利用者のバイオメトリクス情報をサンプルとして取得するサンプル取得手段と、
   前記第１の保存手段から前記第１の認証用情報を読み出すとともに、前記第１の保存手段へ前記サンプルを書き込む認証用情報読み書き手段と
   を備え、
   前記サンプル取得手段によって取得した前記サンプルを、前記認証用可搬媒体から読み出した前記第１の認証用情報と照合し、
   その照合の結果、前記第１の認証用情報が前記サンプルと同一人物のものと判定された場合には、さらに、前記サンプルを前記センタの前記第２の保存手段から読み出した前記第２の認証用情報と照合し、
   その照合の結果、前記第２の認証用情報が前記サンプルと同一人物のものと判定された場合には、さらに、所定のハッシュ関数に基づき前記第１の認証用情報のハッシュ値を算出し、その算出したハッシュ値を、前記第３の保存手段から読み出した前記第３の認証用情報と比較し、
   その比較の結果、前記算出したハッシュ値と前記第３の認証用情報とが一致した場合には、前記サンプルを前記第１の保存手段に書き込むことにより前記第１の認証用情報を更新し、前記所定のハッシュ関数により前記更新した第１の認証用情報のハッシュ値を算出し、前記算出したハッシュ値を前記第３の保存手段に書き込むことにより前記第３の認証用情報を更新すること
   を特徴とする本人確認方法。
4. 請求項１ないし請求項３のいずれか１項に記載の本人確認方法をコンピュータに実行させるためのプログラム。
5. 利用者のバイオメトリクス情報と、認証用可搬媒体に設けられた第１の保存手段および第２の保存手段にそれぞれ保存された第１の認証用情報および第２の認証用情報と、センタに設けられた第３の保存手段に保存された第３の認証用情報とを用いて、利用者の本人確認を行う取引処理装置であって、
   前記利用者からその利用者のバイオメトリクス情報をサンプルとして取得するサンプル取得手段と、
   前記第１の保存手段および前記第２の保存手段からそれぞれ前記第１の認証用情報および前記第２の認証用情報を読み出すとともに、前記第２の保存手段へ前記サンプルを書き込む認証用情報読み書き手段と
   を備え、
   前記サンプル取得手段によって取得した前記サンプルを、前記認証用可搬媒体から読み出した前記第１の認証用情報および前記第２の認証用情報とそれぞれ照合し、
   その照合の結果、前記第１の認証用情報および前記第２の認証用情報のいずれもが前記サンプルと同一人物のものと判定された場合には、さらに、所定のハッシュ関数に基づき前記第２の認証用情報のハッシュ値を算出し、その算出したハッシュ値を前記第３の保存手段から読み出した前記第３の認証用情報と比較し、
   その比較の結果、前記算出したハッシュ値と前記第３の認証用情報とが一致した場合には、前記サンプルを前記第２の保存手段に書き込むことにより前記第２の認証用情報を更新し、前記所定のハッシュ関数に基づき前記更新した第２の認証用情報のハッシュ値を算出し、前記算出したハッシュ値を前記第３の保存手段に書き込むことにより前記第３の認証用情報を更新すること
   を特徴とする取引処理装置。
6. 利用者のバイオメトリクス情報と、認証用可搬媒体に設けられた第１の保存手段に保存された利用者のバイオメトリクス情報に基づく第１の認証用情報と、センタに設けられた第２の保存手段に保存された第２の認証用情報とを用いて、利用者の本人確認を行う取引処理装置であって、
   前記利用者からその利用者のバイオメトリクス情報をサンプルとして取得するサンプル取得手段と、
   前記第１の保存手段から前記第１の認証用情報を読み出す認証用情報読み出し手段と
   を備え、
   前記サンプル取得手段によって取得した前記サンプルを、前記認証用可搬媒体から読み出した前記第１の認証用情報と照合し、
   その照合の結果、前記第１の認証用情報が前記サンプルと同一人物のものと判定された場合には、さらに、前記サンプルを前記センタの前記第２の保存手段から読み出した前記第２の認証用情報と照合し、
   その照合の結果、前記第２の認証用情報が前記サンプルと同一人物のものと判定された場合には、前記サンプルを前記第２の保存手段に書き込むことによって前記第２の認証用情報を更新すること
   を特徴とする取引処理装置。
7. 利用者のバイオメトリクス情報と、認証用可搬媒体に設けられた第１の保存手段に保存された第１の認証用情報と、センタに設けられた第２の保存手段および第３の保存手段にそれぞれ保存された第２の認証用情報および第３の認証用情報とを用いて、利用者の本人確認を行う取引処理装置であって、
   前記利用者からその利用者のバイオメトリクス情報をサンプルとして取得するサンプル取得手段と、
   前記第１の保存手段から前記第１の認証用情報を読み出すとともに、前記第１の保存手段へ前記サンプルを書き込む認証用情報読み書き手段と
   を備え、
   前記サンプル取得手段によって取得した前記サンプルを、前記認証用可搬媒体から読み出した前記第１の認証用情報と照合し、
   その照合の結果、前記第１の認証用情報が前記サンプルと同一人物のものと判定された場合には、さらに、前記サンプルを前記センタの前記第２の保存手段から読み出した前記第２の認証用情報と照合し、
   その照合の結果、前記第２の認証用情報が前記サンプルと同一人物のものと判定された場合には、さらに、所定のハッシュ関数に基づき前記第１の認証用情報のハッシュ値を算出し、その算出したハッシュ値を、前記第３の保存手段から読み出した前記第３の認証用情報と比較し、
   その比較の結果、前記算出したハッシュ値と前記第３の認証用情報とが一致した場合には、前記サンプルを前記第１の保存手段に書き込むことにより前記第１の認証用情報を更新し、前記所定のハッシュ関数により前記更新した第１の認証用情報のハッシュ値を算出し、前記算出したハッシュ値を前記第３の保存手段に書き込むことにより前記第３の認証用情報を更新すること
   を特徴とする取引処理装置。
8. 前記取引処理装置は前記センタにネットワークを介して接続されること
   を特徴とする請求項５ないし請求項７のいずれか１項に記載の取引処理装置。
9. 前記取引処理装置は前記センタを含む構成であること
   を特徴とする請求項５ないし請求項７のいずれか１項に記載の取引処理装置。

Images