JP4626372B2

JP4626372B2 - Ｉｃカード

Info

Publication number: JP4626372B2
Application number: JP2005116398A
Authority: JP
Inventors: 和則橋本; 慎相川; 高見　　穣
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2005-04-14
Filing date: 2005-04-14
Publication date: 2011-02-09
Anticipated expiration: 2025-04-14
Also published as: JP2006293874A

Description

本発明は、人体に備わる特徴を利用して認証を行う生体認証に用いられるＩＣカードに係り、前記ＩＣカード内に格納されている生体認証用テンプレートの不正な書換えを検出するＩＣカードに関する。

本人認証技術として、人体に備わる特徴を利用して認証を行う生体認証技術がある。その中には、予め認証対象となるユーザの生体情報をＩＣカード内に保持しておくことが、例えば特許文献１に記載されている。

特開２０００-２１５２９４号公報

上記従来技術では、予めＩＣカード内に登録しておく生体認証用テンプレートを、ＩＣカードが有する生体識別情報照合処理部を用いて本人認証処理を実施した場合、照合が一致しなければ本人認証は失敗となるが、悪意のある第三者が前記ＩＣカードを保有した場合、何度でも本人認証を試す事が出来る。また、悪意のある第三者が不正な外部機器を用いて、前記ＩＣカード内に登録しておく生体認証用テンプレートを、不正に書換えようとした場合も、何度でも不正な書換え処理を試す事が出来る。この様な場合、ＩＣカードへ送出するデータや、処理手順を複数種類に変えながら、繰り返し処理を行う事でＩＣカード内の処理を解析される可能性が出てくる。また、正規の本人認証用外部機器に不正なアクセスを行ったＩＣカードを接続した場合でも、正規の前記本人認証用外部機器は、接続したＩＣカードが、不正な処理を試されたＩＣカードである事を検出できない。

上記の課題を解決するために、本発明による、認証対象となる人物の生体情報を用いて本人認証を行うＩＣカードでは、ＩＣカードと外部機器との間で相互認証を行う相互認証処理手段と、認証に用いる乱数を生成する乱数生成手段と、接触インターフェースを介して前記外部機器と通信する為の接続手段と、ＩＣカードの外部にデータを出す際に該データを暗号化する暗号手段と、人体に備わる特徴を利用して認証を行う生体認証処理手段と、生体認証処理手段において、本人認証の対象となる人物の生体情報と照合する為の生体認証用テンプレートと、相互認証処理に用いるマスター鍵と、相互認証後に前記相互認証処理部により生成されるセッション鍵と、乱数生成部により生成される乱数と、前記生体認証用テンプレートと前記マスター鍵と前記セッション鍵と前記乱数とを格納する記憶部と、該生体認証用テンプレートを相互認証が成功せずに書換えようとした場合に不正な処理として検出する為の不正処理検出フラグを備える。

以上の構成により、本発明のＩＣカードでは、ＩＣカードと外部機器との間で相互認証、及び鍵交換などの所定の手順に沿わずに生体認証用テンプレートを書換えようとした場合には、不正な処理として検出する事が可能となる。また、所定の手順に沿わずに生体認証用テンプレートを書換えようとした場合に、所定の手順に沿わずに登録しようとした前記生体認証用テンプレートをＩＣカードに格納する事で、相互認証、及び鍵交換などの所定の手順で相互認証、及び鍵交換が成功した場合に限り、前記不正処理検出フラグ、または前記生体認証用テンプレートを読み出す事が出来る事が可能となる。

また、本人認証を行う対象のＩＣカード、つまり外部機器と接続されているＩＣカードが不正にテンプレートの登録処理を行った形跡があるか検出する事が出来る。また、ＩＣカード内に格納されている生体認証用テンプレートと端末ＩＤを、相互認証、及び鍵交換などの所定の手順で相互認証、及び鍵交換が成功した場合に限り読み出す事が出来る事で、不正に登録しようとした生体認証用テンプレートの情報内容の取得や、外部機器を識別する固有のＩＤより不正な登録処理に使われた外部機器の特定を可能とすることが出来る。

本発明によれば、不正に生体認証用テンプレートを書換えようとした場合に、不正な処理として検出する事ができる。

以下、本発明の実施例について図を用いて詳細に説明する。
図1は、本発明の実施形態に係るＩＣカードの構成図である。本実施形態では、生体認証に用いる人体に備わる特徴として、指の静脈パターンを用いる場合を例示して説明する。しかし、これは本発明の説明の為の１つの例示であり、虹彩、指紋、声紋、掌型、網膜パターンなどを用いて行うこともできる。

図１に示すように、ＩＣカード１００は、ＩＣカード１００の統括制御を行うとともに各種判定、演算及び制御処理を行う演算処理部１０１と、接触インターフェースを介して外部機器との通信を可能とする接続部１０２と、ＩＣカード１００が外部機器と通信を行う時の通信データを暗号化/復号化を行う暗号処理部１０３と、ＩＣカード１００が前記接続部１０２を介して外部機器通信を行う際に、ＩＣカード１００と外部機器との間で相互認証を行う為の相互認証処理部１０４と、本人認証の対象となる人物の生体情報の認証を行う生体認証処理部１０５と、相互認証に用いられる乱数を生成する乱数生成部１０６と、記憶部１０７とを有する。記憶部１０７には、本人認証に用いられる本人認証の対象となる人物の生体認証用テンプレート１０８と、該生体認証用テンプレート１０８を、悪意を持って書換えた場合に不正な処理として検出する為の不正処理検出フラグ１０９と、相互認証処理に用いるマスター鍵１１０と、相互認証後に前記相互認証処理部１０４により生成されるセッション鍵１１１と、乱数生成部１０６により生成される乱数１１２とが記憶される。

図２は、ＩＣカード１００とＩＣカードが相互認証を行う外部機器との間でやり取りされる電文構成の一例を示す図である。図２に示すように、電文としては、チャレンジ要求電文２００と、チャレンジ要求応答電文２１０と、検証要求電文２２０と、検証要求応答電文２３０とテンプレート登録要求電文２４０と、テンプレート登録要求応答電文２５０とがあり、それぞれ電文識別符号もしくは電文識別符号に情報データを付加した構成をなしている。

チャレンジ要求電文２００は、ＩＣカードが相互認証を行う外部機器からＩＣカード１００に対し、外部機器が相互認証においてＩＣカードの検証を行う為のＩＣカード検証用データ２１２を要求する電文である。チャレンジ要求電文２００は、チャレンジ要求電文２００である事を示す電文識別符号２０１と、ＩＣカードが相互認証を行う外部機器が生成した乱数２０２が付加された構成をなしている。

チャレンジ要求応答電文２１０は、チャレンジ要求電文２００の応答としてＩＣカード１００からＩＣカードが相互認証を行う外部機器に対して送出する電文であって、チャレンジ要求応答電文２１０である事を示す電文識別符号２１１と、ＩＣカード検証用データ２１２と、ＩＣカード１００が乱数生成部１０６により生成する乱数１１２が付加された構成をなしている。

検証要求電文２２０は、ＩＣカードが相互認証を行う外部機器からＩＣカード１００に対し、ＩＣカード１００が相互認証において外部機器の検証を行う為の端末検証用データを送付する電文である。検証要求電文２２０は、検証要求電文２２０である事を示す電文識別符号２２１と、端末検証用データ２２２が付加された構成をなしている。
検証要求応答電文２３０は、検証要求電文２２０の応答としてＩＣカード１００からＩＣカードが相互認証を行う外部機器に対して送出する電文であって、検証要求応答電文２３０は、検証要求応答電文２３０である事を示す電文識別符号２３１と、ＩＣカード１００内で、相互認証処理部１０４を用いて外部機器の検証を行った結果を示す検証結果が付加された構成をなしている。

テンプレート登録要求２４０は、ＩＣカード１００とＩＣカードが相互認証を行う外部機器との間で相互認証が成功した場合に、外部機器からＩＣカードに対して、生体認証で用いられる本人認証の対象となる人物の生体情報を生体認証用テンプレート１０８として登録を行う事を要求する電文であって、テンプレート登録要求２４０である事を示す電文識別符号２４１と、ＩＣカード１００とＩＣカードが相互認証を行う外部機器との間で相互認証が成功した後にＩＣカード１００と外部機器との間で共有するセッション鍵１１１を用いて暗号化された生体認証用テンプレート１０８と、テンプレート登録要求電文２４０に付加した情報の信憑性を確保する為の署名データ２４３が付加された構成をなしている。

テンプレート登録要求応答２５０は、テンプレート登録要求応答２５０の応答としてＩＣカード１００から外部機器に対して送出する電文であって、テンプレート登録要求応答２５０である事を示す電文識別符号２５１と、ＩＣカード１００が、署名の検証が成功して、生体認証用テンプレート１０８を記憶部１０７格納出来たかどうかの結果を示す登録結果が付加された構成をなしている。

次に本実施形態に係るＩＣカード１００が、外部機器に対して相互認証を行い、生体認証用テンプレート１０８を登録するまでの処理手順を、図３を用いて説明する。該相互認証処理手順、及び該登録処理手順を説明するに当り、ＩＣカード１００は、接触インターフェースを介した接続が可能な外部機器であれば接続は可能である。図示していないが、ここでは接触インターフェースを介した接続が可能であり、生体認証を行う為に認証対象となる本人から生体情報を取得する生体情報取得部と、ＩＣカード１００と相互認証処理を可能とする外部機器を想定する。その為に、外部機器にも、ＩＣカードとの相互認証に用いられるマスター鍵、及び外部機器が備える乱数生成部により生成した乱数を有する。

まず、図３を用いてＩＣカード１００と前記外部機器との間で相互認証処理を行った場合の処理手順を説明する。ＩＣカード１００は、接触インターフェースを介し外部機器に接続されると、外部機器から要求電文を待つ待機状態となっている（Ｓ３０１）。ここで、外部機器より要求電文を受信すると（Ｓ３０２）、要求電文に付加されている電文識別符号を参照し、該電文識別符号ごとに対応した処理へと移る（Ｓ３０３）。ここで、相互認証処理、及び生体認証用テンプレート１０８の登録処理以外の処理で要求電文を受信した場合には、その他カード処理（Ｓ３０４）として処理を行い、処理結果を応答として外部機器に送信し（Ｓ３０５）、外部機器から要求電文を待つ待機状態に戻る（Ｓ３１９）。図例では、その他カード処理は簡略化して一つの処理の様に記載しているが、処理内容が異なるごとにその他カード処理が複数存在しても良い。

相互認証処理では、まず、外部機器よりチャレンジ要求電文２００を受ける。ＩＣカード１００は、該チャレンジ要求電文２００を受けると、ステップＳ３０３により電文識別符号を判定し、ステップＳ３０６に移る。ステップＳ３０６でＩＣカード１００は、記憶部１０７に格納されているマスター鍵１１０と前記チャレンジ要求電文２００に付加されている乱数２０２を用いてＩＣカード検証用データ２１２を作成する。ＩＣカード検証用データ２１２の生成方法として、例えば、乱数２０２をマスター鍵で暗号化する方法がある。次に、乱数生成部１０６より乱数１１２を生成する（Ｓ３０７）。そして、前記ＩＣカード検証用データ２１２と乱数１１２を付加したチャレンジ要求応答電文を作成し、外部機器へ送信する（Ｓ３０８）。

通常、相互認証の場合、外部機器はＩＣカードよりＩＣカード検証用データ２１２を受信すると、外部機器が生成した乱数２０２と外部機器の内部に格納されているマスター鍵とを用いてＩＣカード検証用データ２１２の検証を行う。ＩＣカード検証用データ２１２の検証方法として、外部機器が保持している乱数２０２を同じく外部機器が保持しているマスター鍵で暗号化し、受信したＩＣカード検証用データ２１２と一致するか検証する。また、逆に受信したＩＣカード検証用データ２１２をマスター鍵で復号化して、外部機器が保持している乱数２０２と一致するか検証しても良い。

上記のような方法を用いて検証が成功すると、外部機器は、チャレンジ要求応答電文２１０で受信した乱数１１２と外部機器が内部に格納しているマスター鍵を用いて端末検証用データ２２２を作成する。端末検証用データ２２２の作成方法は、上記と同じ方法で良い。そして、前記端末検証用データ２２２を付加した検証要求電文２２０を作成し、ＩＣカード１００へ送信する。ＩＣカード１００は、前記検証要求電文２２０を受信すると、ステップＳ３０３により電文識別符号を判定し、ステップＳ３０９に移る。ステップＳ３０９で、ＩＣカード１００は、乱数１１２を生成済みかどうか判定する（Ｓ３０９）。

これは、検証要求電文を受け取る前に、ＩＣカード１００がチャレンジ要求処理を行っているかを判断する為である。ここで、乱数が生成済みの場合（Ｓ３０９：ＹＥＳ）、検証要求電文２２０に付加された端末検証用データ２２２の検証を行う（Ｓ３１０）。ここでの端末検証用データ２２２の検証方法は、上記のＩＣカード検証用データ２１２の検証方法と同様で良い。そして、前記検証が正しかった場合（Ｓ３１０：ＯＫ）、マスター鍵を用いてセッション鍵を生成する（Ｓ３１１）。

ここで、セッション鍵の生成方法として、例えば、ＩＣカードが生成した乱数１１２と外部機器が生成した乱数２０２とで論理和演算を行い、前記演算結果をマスター鍵で暗号化したものをセッション鍵としても良い。セッション鍵は、ＩＣカード検証用データ、及び端末検証用データと同じ値、同じ方法を用いなければ、上記のセッション鍵の生成方法以外の方法であっても良い。そして、セッション鍵が生成できた場合、検証成功を意味する検証結果２３２を検証要求応答電文２３０に付加して外部機器に送信する（Ｓ３１２）。

また、ステップＳ３０９において乱数１１２が生成されていない場合（Ｓ３０９：ＮＯ）、端末検証用データの検証、及びセッション鍵の生成を行わずステップＳ３１２に移り、検証失敗を意味する検証結果２３２を検証要求応答電文２３１に付加して外部機器に送信する（Ｓ３１２）。またステップＳ３１０において端末検証用データ２２２の検証が不正だった場合（Ｓ３１０：ＮＧ）も、同様に検証失敗を意味する検証結果２３２を検証要求応答電文２３１に付加して外部機器に送信する（Ｓ３１２）。

以上、ＩＣカード１００と外部機器との間で行われる相互認証処理一連の手順の一例である。本実施形態では、相互認証、及び鍵交換として共通鍵暗号方式を用いた場合について記載したが、その他、公開鍵暗号方式を用いた場合や各種暗号方式を複合して使用した場合など、相互認証、及び鍵交換が正しく行える処理であれば代替の方式を用いても良い。
また、本実施形態では、外部機器とＩＣカード１００でマスター鍵を共有しているが、外部機器がマスター鍵を複数個持ち、上記チャレンジ要求応答電文２１０にＩＣカード１００が持つマスター鍵１１０を特定する為のキーインデックスを付加して渡す方法を用いても良い。

次に相互認証と鍵交換が正しく行えた場合に、外部機器を用いてＩＣカード１００に本人認証において、認証対象となる人物の生体情報を照合する為、比較対象となる生体認証用テンプレート１０８を登録する処理の手順を説明する。
まず、外部機器とＩＣカード１００の間で相互認証と鍵交換が正しく行った後、外部機器は、鍵交換により生成したセッション鍵を用いて、登録する生体認証用テンプレート１０８を暗号化する。そして、外部機器よりＩＣカード１００に対し、テンプレート登録要求電文２４０を送信する。ＩＣカード１００は、鍵交換によりセッション鍵を生成済みかどうか判定する（Ｓ３１３）。これは、テンプレート登録要求電文２４０を受け取る前に、ＩＣカード１００と外部機器との間で相互認証が成功しているかを判断する為である。

ここで、セッション鍵が生成済みの場合（Ｓ３１３：ＹＥＳ）、テンプレート登録要求電文２４０に付加された署名２４３の検証を行う（Ｓ３１４）。そして、前記署名検証が正しかった場合（Ｓ３１４：ＯＫ）、ＩＣカードは、セッション鍵１１１を用いて、テンプレート登録要求電文２４０に付加された暗号化された生体情報テンプレート２４２を復号化する（Ｓ３１５）。復号化した生体情報テンプレート１０８は、ＩＣカード１００内の記憶部１０７に格納される（Ｓ３１６）。格納後、テンプレート登録した事を意味する登録結果２５２をテンプレート登録要求応答電文２５０に付加して外部機器に送信する（Ｓ３１７）。

また、ステップＳ３１３においてセッション鍵１１１が生成されていない場合（Ｓ３１３：ＮＯ）、ＩＣカード１００と外部機器との間で相互認証が成功していないので、不正な手順でテンプレートの登録を行っている為、不正検知処理へと移る（Ｓ３１８）。また、署名検証が不正だった場合（Ｓ３１４：ＮＧ）の場合は、署名検証３１４、及び暗号化された生体情報テンプレート２４２の復号化、及びＩＣカード１００内の記憶部１０７へ格納される事なく、ステップＳ３１７に移り、生体情報テンプレート２４２の登録失敗を意味する登録結果２５２をテンプレート登録要求応答電文２５０に付加して外部機器に送信する（Ｓ３１７）。
以上の手順を行う事で、外部機器からＩＣカード１００に対し、認証対象となる人物の生体情報を照合する為の生体情報テンプレートを登録する事が出来る。

次に、上記不正検知処理Ｓ３１８として、例えば図４、５，６などの処理が考えられる。まず、図４を用いて不正検知処理Ｓ３１８の処理手順の一例を説明する。ＩＣカード１００は、不正検知処理Ｓ３１８へ移ると（Ｓ３１８）、ＩＣカード１００内の記憶部１０７に格納している不正処理検出フラグを立てる（Ｓ４０１）。そして、テンプレートの登録失敗を意味する登録結果２５２をテンプレート登録要求応答電文２５０に付加して外部機器に送信する（Ｓ３１７）。また、この時、テンプレート登録した事を意味する登録結果２５２をテンプレート登録要求応答電文２５０に付加して外部機器に送信しても良い（Ｓ３１７）。

次に、図５を用いて不正検知処理Ｓ３１８の処理手順について、別の一例を説明する。ＩＣカード１００は、不正検知処理Ｓ３１８へ移ると（Ｓ３１８）、図４で例示した処理手順と同様にＩＣカード１００内の記憶部１０７に格納している不正処理検出フラグを立てる（Ｓ４０１）。そして、事前に相互認証が成功していない状態で外部機器より送信されたテンプレート登録要求電文２４０に付加されたデータを、暗号化した生体情報テンプレート２４２の代わりとして記憶部１０７内の生体認証用テンプレート１０８のメモリエリアに格納する。格納後、テンプレートの登録失敗を意味する登録結果２５２をテンプレート登録要求応答電文２５０に付加して外部機器に送信する（Ｓ３１７）。また、この時、テンプレート登録した事を意味する登録結果２５２をテンプレート登録要求応答電文２５０に付加して外部機器に送信しても良い（Ｓ３１７）。

次に、図６を用いて不正検知処理Ｓ３１８の処理手順について、更にもう一例を説明する。ＩＣカード１００は、不正検知処理Ｓ３１８へ移ると（Ｓ３１８）、図５で例示した処理手順と同様にＩＣカード１００内の記憶部１０７に格納している不正処理検出フラグを立てる（Ｓ４０１）。そして、事前に相互認証が成功していない状態で外部機器より送信されたテンプレート登録要求電文２４０に付加されたデータを、暗号化した生体情報テンプレート２４２の代わりとして記憶部１０７内の生体認証用テンプレート１０８のメモリエリアに格納する。格納後、ＩＣカード１００内の記憶部１０７に格納されている個人関連情報、例えば名前、生年月日などの個人を特定に係る情報や、クレジット情報、パスワード等の銀行やクレジットなどのキャッシングに係る情報を別の値で書換える。例えば、前記個人関連情報を格納しているメモリエリアを0ｘＦＦで埋めたり、単純に該メモリエリアを消去したりする。そして、テンプレートの登録失敗を意味する登録結果２５２をテンプレート登録要求応答電文２５０に付加して外部機器に送信する（Ｓ３１７）。また、この時、テンプレート登録した事を意味する登録結果２５２をテンプレート登録要求応答電文２５０に付加して外部機器に送信しても良い（Ｓ３１７）。

また、ステップＳ４０２とステップＳ４０３について、処理順序は関係なく、どちらの処理を優先して行っても良い。
また、ステップＳ４０２において、ステップＳ４０３と同様に、ＩＣカード１００内の記憶部１０７内の生体認証用テンプレート１０８が格納されるメモリエリアを別の値で書換える。例えば0ｘＦＦで埋めたり、単純に該メモリエリアを消去したりする方法でも良い。

図７は、ＩＣカード１００とＩＣカード１００に本人認証を要求する外部機器との間でやり取りされる電文構成の一例を示す図である。図７に示すように、電文としては、照合要求電文７００と、照合要求応答電文７１０と、不正処理検出フラグ要求電文７２０と、不正処理検出フラグ要求応答電文７３０とがあり、それぞれ電文識別符号もしくは電文識別符号に情報データを付加した構成をなしている。

照合要求電文７００は、ＩＣカード１００に本人認証を要求する外部機器からＩＣカード１００に対し、外部機器が本人認証を要求する電文である。照合要求電文７００は、照合要求電文７００である事を示す電文識別符号７０１と、認証対象となる人物より、本人認証の為に取得した生体情報を、事前の相互認証により鍵交換されたセッション鍵を用いて暗号化した暗号化した照合データ７０２と、照合要求電文７００に付加した情報の信憑性を確保する為の署名データ７０３が付加された構成をなしている。
照合要求応答電文７１０は、照合要求電文７００の応答としてＩＣカード１００から本人認証を要求する外部機器に対して送出する電文であって、照合要求応答電文７１０である事を示す電文識別符号７１１と、ＩＣカード１００内の生体認証処理部１０５を用いて認証を行った結果を示す、照合結果７１２が付加された構成をなしている。

不正処理検出フラグ要求電文７２０は、ＩＣカード１００に本人認証を要求する外部機器からＩＣカード１００に対し、ＩＣカード１００内の記憶部１０７に格納してある不正処理検出フラグ１０９を要求する電文である。不正処理検出フラグ要求電文７２０は、不正処理検出フラグ要求電文７２０である事を示す電文識別符号７２１を持つ構成をなしている。

不正処理検出フラグ要求応答電文７３０は、不正処理検出フラグ要求電文７２０の応答としてＩＣカード１００から本人認証を要求する外部機器に対して送出する電文であって、事前の相互認証により鍵交換されたセッション鍵を用いて暗号化した不正処理検出フラグ７３２と、不正処理検出フラグ要求応答電文７３０に付加した情報の信憑性を確保する為の署名データ７３３が付加された構成をなしている。

次に本実施形態に係るＩＣカード１００が、外部機器から本人認証の要求を受けた時に、ＩＣカード１００内の記憶部１０７に格納してある生体認証用テンプレート１０８を用いて照合データを認証するまでの処理手順を、図８を用いて説明する。
本人認証を行う場合、事前に外部機器とＩＣカード１００との間で相互認証が成功していなければならない。前記相互認証処理は、図３にてフローチャートを用いて説明している為、ここでは説明を省略する。また、図３と重複する処理についても図示を省略している。

次に相互認証と鍵交換が正しく行えた場合に、外部機器を用いてＩＣカード１００に本人認証を要求する処理の手順を説明する。まず、外部機器とＩＣカード１００の間で相互認証と鍵交換が正しく行った後、外部機器は、認証対象となる人物より、本人認証の為に取得した生体情報を、鍵交換により生成したセッション鍵を用いて暗号化した照合データ７０２を付加した照合要求電文７００を送信する。ＩＣカード１００は、鍵交換によりセッション鍵を生成済みかどうか判定する（Ｓ８０１）。これは、照合要求電文７００を受け取る前に、ＩＣカード１００と外部機器との間で相互認証が成功しているかを判断する為である。ここで、セッション鍵が生成済みの場合（Ｓ８０１：ＹＥＳ）、照合要求電文７００に付加された署名７０３の検証を行う（Ｓ８０２）。そして、前記署名検証が正しかった場合（Ｓ８０２：ＯＫ）、ＩＣカードは、セッション鍵１１１を用いて、照合要求電文７００に付加された暗号化された照合データ７０２を復号化する（Ｓ８０３）。

復号化した照合データは、ＩＣカード１００内の記憶部１０７に格納してある生体認証用テンプレート１０８と、生体認証処理部１０５により照合処理が行われる（Ｓ８０４）。前記照合後、照合した結果を照合結果７１２を照合要求応答電文７１０に付加して外部機器に送信する（Ｓ８０５）。また、ステップＳ８０１においてセッション鍵１１１が生成されていない場合（Ｓ８０１：ＮＯ）、ＩＣカード１００と外部機器との間で相互認証が成功していないので、不正な手順で照合を要求している為、照合失敗を意味する照合結果７１２を照合要求応答電文７１０に付加して外部機器に送信する（Ｓ８０５）。

また、署名検証が不正だった場合（Ｓ８０２：ＮＧ）の場合は、暗号化された照合データ７０２の復号化、及び照合処理を行わず、ステップＳ８０５に移り、照合処理の失敗を意味する照合結果７１２を照合要求応答電文７１０に付加して外部機器に送信する（Ｓ８０５）。

次に、前記生体認証用テンプレートをＩＣカード１００に登録する際に、登録処理の前にＩＣカード１００と外部機器との間で相互認証と鍵交換を正しく行ったかどうか判定する為、ＩＣカード１００内の記憶部１０７に格納されている不正処理検出フラグ１０９を要求する処理の手順を説明する。まず、不正処理検出フラグ１０９を要求している外部機器が正当な機器かを判定する為、ＩＣカード１００と外部機器との間で相互認証処理を行う。該相互認証処理の手順は、図３にて説明している為、ここでは省略する。

まず、外部機器はＩＣカードに対し、不正処理検出フラグ要求電文７２０を送信する。ＩＣカード１００は、鍵交換によりセッション鍵を生成済みかどうか判定する（Ｓ８０６）。これは、不正処理検出フラグ要求電文７２０を受け取る際に、ＩＣカード１００と外部機器との間で相互認証が成功しているかを判断する為である。ここで、セッション鍵が生成済みの場合（Ｓ８０６：ＹＥＳ）、ＩＣカードは、記憶部１０７に格納してある不正処理検出フラグ１０９を、セッション鍵１１１を用いて暗号化する（Ｓ８０７）。そして、不正処理検出フラグ要求応答電文７３０に付加した情報の信憑性を確保する為の署名データ７３３を生成し（Ｓ８０８）、不正処理検出フラグ要求応答電文７３０に付加して外部機器に送信する（Ｓ８０９）。

また、ステップＳ８０９において、不正処理検出フラグ要求応答電文７３０に付加する情報として、図９に示すように暗号化した不正処理検出フラグ７３２だけでなく、暗号化した生体認証用テンプレート９０１を付加し、そして、不正処理検出フラグ要求応答電文７３０に付加した情報の信憑性を確保する為の署名データ７３３を付加した不正処理検出フラグ要求応答電文７３０を外部機器に送信しても良い。その場合、図示は省略するが、図８において、セッション鍵の生成判定（Ｓ８０６）から署名生成（Ｓ８０８）の間で、ＩＣカードが、記憶部１０７に格納してある生体認証用テンプレート１０８を、セッション鍵１１１を用いて暗号化する処理が加えられる。

また、生体認証用テンプレート１０８の登録処理において、図２に示す電文内のテンプレート登録要求電文２４０、及びテンプレート登録要求応答電文２５０を用いて、図３に示すステップＳ３１３からステップＳ３１７まで処理手順により、ＩＣカード１００内の記憶部１０７に生体認証用テンプレート１０８が登録される事を説明したが、ここで生体認証用テンプレート１０８の登録処理において、生体認証用テンプレート１０８と同時にテンプレート登録要求電文２４０を送出する外部機器を識別する固有のＩＤを登録する事も可能のである。ここでは、外部機器を識別する固有のＩＤを示す一例として端末ＩＤ１００１をもちいて説明する。

上記の場合、図１１に示すようにテンプレート登録要求電文２４０において、電文に付加される情報として、セッション鍵で暗号化された生体情報テンプレート２４２と一緒に外部機器を識別する固有のＩＤである端末ＩＤ１００１を付加し、そして、テンプレート登録要求電文２４０に付加した情報の信憑性を確保する為の署名データ２４３を付加した電文構成となる。
図３のテンプレート登録処理（ステップＳ３１３からステップＳ３１７まで）において、図示は省略するが、ステップＳ３１７において、復号化した生体情報テンプレート１０８と、端末ＩＤ１００１は、ＩＣカード１００内の記憶部１０７に格納される（Ｓ３１６）。

また、ステップＳ８０９において、不正処理検出フラグ要求応答電文７３０に付加する情報として、図１２に示すように暗号化した不正処理検出フラグ７３２だけでなく、暗号化した生体認証用テンプレート９０１と、端末ＩＤ１００１を付加し、そして、不正処理検出フラグ要求応答電文７３０に付加した情報の信憑性を確保する為の署名データ７３３を付加した不正処理検出フラグ要求応答電文７３０を外部機器に送信しても良い。その場合、端末ＩＤ１００１は、他の不正処理検出フラグ７３２や生体認証用テンプレート９０１と同様に暗号化して付加しても良い。図示は省略するが、図８において、セッション鍵の生成判定（Ｓ８０６）から署名生成（Ｓ８０８）の間で、図１０に示すＩＣカードが、記憶部１０７に格納してある端末ＩＤ１００１を、セッション鍵１１１を用いて暗号化する処理が加えられる。

以上述べた様に、本発明のＩＣカードは、ＩＣカードと外部機器との間で相互認証、及び鍵交換などの所定の手順に沿わずに生体認証用テンプレートを書換えようとした場合には、不正な処理として検出する事を可能とする。また、所定の手順に沿わずに生体認証用テンプレートを書換えようとした場合に、所定の手順に沿わずに登録しようとした前記生体認証用テンプレートをＩＣカードに格納する事で、相互認証、及び鍵交換などの所定の手順で相互認証、及び鍵交換が成功した場合に限り、前記不正処理検出フラグ、または前記生体認証用テンプレートを読み出す事が出来る事を可能とする。

また、不正処理検出フラグ要求電文７２０を用いる事により、本人認証を行う対象のＩＣカード１００、つまり外部機器と接続されているＩＣカード１００が不正にテンプレートの登録処理を行った形跡があるか検出する事が出来る。また、ＩＣカード１００内に格納されている生体認証用テンプレート１０８、端末ＩＤ１００１を、相互認証、及び鍵交換などの所定の手順で相互認証、及び鍵交換が成功した場合に限り読み出す事が出来る事で、不正に登録しようとした生体認証用テンプレートの情報内容の取得や、外部機器を識別する固有のＩＤより不正な登録処理に使われた外部機器の特定を可能とする。

本発明の実施形態に係るＩＣカードの構成を示す図である。本実施形態での登録処理における各電文構成の例を示す図である。ＩＣカード１００での登録処理における処理手順を示すフローチャートである。ＩＣカード１００での不正登録処理における処理手順を示すフローチャートである。ＩＣカード１００での不正登録処理における処理手順を示すフローチャートである。ＩＣカード１００での不正登録処理における処理手順を示すフローチャートである。本実施形態での照合処理における各電文構成の例を示す図である。ＩＣカード１００での照合処理における処理手順を示すフローチャートである。本実施形態での不正処理検出フラグ要求応答電文の構成の例を示す図である。本発明の実施形態に係るＩＣカードの構成を示す図である。本実施形態でのテンプレート登録要求電文の構成の例を示す図である。本実施形態での不正処理検出フラグ要求応答電文の構成の例を示す図である。

符号の説明

１００ＩＣカード
１０１演算処理部
１０２接続部
１０３暗号処理部
１０４相互認証処理部
１０５生体認証処理部
１０６乱数生成部
１０７記憶部
１０８生体認証用テンプレート
１０９不正処理検出フラグ
１１０マスター鍵
１１１セッション鍵
１１２乱数

Claims

人体に備わる特徴を利用して認証を行う生体認証に用いられるＩＣカードにおいて、
前記ＩＣカードは、外部機器に対して相互認証をおこなうＩＣカードであって、
生体認証時に認証対象となる人物の生体情報と照合する際の比較対象となる生体認証用テンプレートを保持しておく記憶手段と、
前記生体認証用テンプレートの登録時の、外部機器との相互認証結果が格納され、生体認証時に、相互認証された外部機器に通知される不正処理検出フラグを有し、
相互認証されていない外部機器により生体認証用テンプレートの登録処理をおこなった場合でも登録処理を継続し、生体認証時に不正なＩＣカードか否かを判定可能にしたことを特徴とするＩＣカード。
請求項１に記載のＩＣカードにおいて、
相互認証されていない外部機器により生体認証用テンプレートを登録しようとした場合に、登録しようとした前記生体認証用テンプレートを前記記憶部に格納することを特徴とするＩＣカード。
請求項１に記載のＩＣカードにおいて、
前記記憶部には、前記生体認証用テンプレートと生体認証の対象となる人物の個人関連情報を格納するメモリエリアを有し、
相互認証されていない外部機器により生体認証用テンプレートを登録しようとした場合に、前記記憶部内の前記生体認証用テンプレート格納メモリエリアを所定のパターンに書換えることを特徴とするＩＣカード。
請求項３に記載のＩＣカードにおいて、
相互認証されていない外部機器により生体認証用テンプレートを登録しようとした場合に、前記記憶部に格納されている前記生体認証用テンプレート以外のメモリエリアの情報を所定のパターンに書換えることを特徴とするＩＣカード。
請求項１乃至４のいずれかに記載のＩＣカードにおいて、
相互認証されていない外部機器により生体認証用テンプレートを登録しようとした場合に、ＩＣカードが受信した生体認証用テンプレートの登録要求電文に対して、登録の成功を示す応答電文を送出することを特徴とするＩＣカード。
請求項１乃至５のいずれかに記載のＩＣカードにおいて、
外部機器に対して相互認証が成功した場合に限り、前記不正処理検出フラグを読み出す事が出来ることを特徴とするＩＣカード。
請求項１乃至５のいずれかに記載のＩＣカードにおける、
外部機器に対して相互認証が成功した場合に限り、前記生体認証用テンプレートを読み出す事が出来ることを特徴とするＩＣカード。
請求項１に記載のＩＣカードにおいて、
相互認証されていない外部機器により生体認証用テンプレートを登録しようとした場合に、該ＩＣカードと接続している外部機器を識別する為の固有のＩＤを前記記憶部に格納することを特徴とするＩＣカード。
請求項８に記載のＩＣカードにおいて、
外部機器に対して相互認証が成功した場合に限り、前記外部機器を識別する為の固有の前記ＩＤを読み出す事が出来ることを特徴とするＩＣカード。