JP5488113B2 - 不正アクセス検知装置、および、不正アクセス検知方法 - Google Patents

Description

本発明は、生体認証システムに係る不正アクセス検知装置および不正アクセス検知方法に関する。

生体認証システムでは、クライアント端末に接続された生体センサーが認証時に生体情報を取得する。クライアント端末の画像処理部は、入力された生体情報に対してノイズ除去などの処理を施し生体情報を補正する。さらに、特徴抽出部は、特徴情報を抽出して生体認証で使用する照合用生体データを作成し、サーバ側のマッチャーに送付する。マッチャーは、あらかじめ登録された生体データ（登録テンプレート）と特徴抽出部から送付された照合用生体データとを使って本人判定を行い、照合結果をアクライアント端末に返信する。

生体認証システムにおいてアタックポイントに成り得る場所は、複数箇所存在する。ＩＤおよび生体情報を使用して本人確認を行うクライアント・サーバ型の生体認証システムでは、システムへの不正アクセス対策として、所定期間の連続認証失敗回数を記録しておき、認証失敗回数が閾値以上になった場合に不正アクセスとみなして、ユーザアカウントをロックする方法がとられている。また、過去に入力されたＩＤ情報および生体情報を記録しておき、認証時に入力されたＩＤ情報および生体情報と、過去に入力されたＩＤ情報および生体情報と、を比較して不正アクセスを推測判断する方法がある。これらの代表的な不正アクセス検知方法により、正規のユーザになりすましてシステムにアクセスを試みようとする悪意のある者の攻撃からシステムを防御することが可能となる。特許文献１は、不正アクセスの一例であるヒルクライムアタックに対する不正アクセス監視方法を開示している。

特開２０００−１３２５１５号公報

しかしながら、特許文献１の技術では、ＩＤ情報が一致して生体情報が不一致の場合は、不正アクセスにより認証失敗が継続したのか、正規の利用者が認証失敗を繰り返したのか区別がつかない問題がある。生体認証は、正規の利用者が繰り返し認証失敗する場合に、照合用生体データの品質にばらつきはなく且つ照合スコアの変動にもばらつきがない特性を有する。一方で、ヒルクライアタックの場合では、照合用生体データが変更され、認証が繰り返し要求される。そのため、照合用生体データの品質および照合スコアにばらつきがある場合、照合用生体データの品質にばらつきがなく照合スコアにばらつきがある場合等、正規の利用者が繰り返し認証失敗する場合と異なる挙動が見られる。そのため、照合スコアの変動および照合用生体データ品質の変動から、不正アクセスと正規の利用者の認証失敗とを区別する方法が必要になる。

本発明は上記課題に鑑みなされたものであり、不正アクセスに対する高い検知精度を有する不正アクセス検知装置および不正アクセス検知方法を提供することを目的とする。

上記課題を解決するために、明細書開示の不正アクセス検知装置は、クライアント端末から受信したユーザＩＤおよび生体情報とあらかじめ登録されたユーザＩＤおよび生体情報とを比較照合した際の認証結果を管理する認証結果管理部と、前記認証結果からユーザＩＤごとの照合スコアの変動傾向および照合用生体データ品質の変動傾向の抽出結果に基づいて、不正アクセスを検知する傾向抽出部と、を備えるものである。

上記課題を解決するために、明細書開示の不正アクセス検知方法は、不正アクセス検知装置が、クライアント端末から受信したＩＤ情報および生体情報とあらかじめ登録されたＩＤ情報および生体情報と、を比較照合した際の認証結果を管理する認証結果管理ステップと、前記認証結果からユーザＩＤごとの照合スコアおよび照合用生体データ品質の変動傾向の抽出結果に基づいて、不正アクセスを検知する傾向抽出ステップと、を実行するものである。

明細書開示の不正アクセス検知装置および不正アクセス検知方法によれば、不正アクセスに対する高い検知精度を実現することができる。

指紋認証システムのアタックポイントを説明するための図である。 アタックの種類について説明するための図である。 各アタックに対する対策方法を説明するための図である。 指紋照合用データの修正について説明するための図である。 実施例１に係る不正アクセス検知装置を備えた生体認証システムのブロック図である。 クライアント端末および認証サーバの機器構成図である。 ユーザ識別情報の一例を説明するための図である。 認証結果の一例を説明するための図である。 指紋認証画像の画素値のヒストグラムの一例を説明するための図である。 品質の高い指紋画像データの例である。 品質の低い指紋画像データの例である。 品質の低い指紋画像データの例である。 品質の低い指紋画像データの例である。 品質の低い指紋画像データの例である。 照合スコアの変動データの一例を示す。 照合用指紋データの変動データの一例を示す。 具体的な不正アクセス判定ポリシーを示す図である。 不正アクセス判断処理の流れを示すフローチャートである。 照合用指紋データ品質の分散値の抽出を説明するための図である。 あらかじめ定義された不正アクセス判定ポリシーを説明するための図である。 照合スコアの分散値および照合用指紋データ品質の分散値の例を説明するための図である。 リスク評価値を算出する際に用いる重みを説明するための図である。 不正アクセス判定ポリシーを説明するための図である。 所定期間における特徴点の位置の変動データを説明するための図である。 複合化した照合用指紋データの例を示す図である。 不正アクセス判定ポリシーを説明するための図である。 所定期間における特徴点の角度の変動データを説明するための図である。 特徴点の角度について説明するための図である。 不正アクセス判定ポリシーを説明するための図である。 所定期間における特徴点の数の変動データを説明するための図である。 不正アクセス判定ポリシーを説明するための図である。 所定期間における照合用指紋データを説明するための図である。 不正アクセス判定ポリシーを説明するための図である。 実施例２に係る不正アクセス検知装置を備えた生体認証システムのブロック図である。 センサーから取得した画像に含まれる情報を説明するための図である。 コード記述例を説明するための図である。 コード管理テーブルの一例を示す図である。 照合用指紋データへのコード記述の例を示す図である。 センサーの詳細について説明するための図である。 コードが記述された補正後の指紋画像データを示す図である。 センサーの詳細について説明するための図である。 コードが記述された補正後の指紋画像データを示す図である。 センサーの詳細について説明するための図である。 実施例３に係る不正アクセス検知装置を備えた生体認証システムのブロック図である。 アタックパターンの自動学習の際に実行されるフローチャートの一例を説明するための図である。 アタックパターンの自動学習結果の一例を説明するための図である。 不正アクセスのパターンが反映された不正アクセス判定ポリシーの一例を説明するための図である。 アタックパターンの自動学習結果を示す図である。 自動学習した内容が反映された不正アクセス判定ポリシーの例を示す図である。 アタックパターンの自動学習結果を示す図である。 自動学習したパターンが反映された不正アクセス判定ポリシーの例を示す図である。 自動学習結果の一例を示す図である。 自動学習したパターンが反映された不正アクセス判定ポリシーの例を示す図である。 アタックパターンの自動学習結果を示す図である。 認証結果に含まれる暗号化された照合用指紋データを復号化し、管理テーブルで管理した例を示す図である。 自動学習したパターンが反映された不正アクセス判定ポリシーの例を示す図である。 実施例４に係る不正アクセス検知装置を備えた生体認証システムのブロック図である。

まず、クライアント・サーバ型の指紋認証システムのアタック方法について説明する。図１は、指紋認証システムのアタックポイントを説明するための図である。図１を参照して、アタックポイントに成り得る場所は、８箇所程度存在する。図２は、アタックの種類について説明するための図である。図３は、各アタックに対する対策方法を説明するための図である。以下の実施例は、主としてＴｙｐｅ４のヒルクライムアタック対策に関するものである。

ヒルクライムアタックの流れを以下に示す。
１）同じ数の特徴点を持つ照合用生体データを複数作成する。
２）ユーザＩＤを固定して、前記１）で作成した照合用指紋データをサーバに送付して、ユーザＩＤと照合用生体データとの組み合わせ毎にスコアを蓄積する。
３）照合スコアが最大となる照合用生体データを抽出する。
４）照合用指紋データを図４のように修正して、前記２）と同じユーザＩＤを使ってサーバに送付し、ユーザＩＤと照合用生体データとの組み合わせ毎にスコアを蓄積し、照合スコアが最大となる照合用指紋データを抽出する。図４を参照して、特徴点を移動（図４（ａ））、特徴点の向きを移動（図４（ｂ））、特徴点を新規に追加・削除する。
５）前記４）を認証成功するまで繰り返す

図５は、実施例１に係る不正アクセス検知装置を備えた生体認証システム１００のブロック図である。一例として、生体認証システム１００は、指紋認証を行う生体認証システムである。図５を参照して、生体認証システム１００は、クライアント端末１０がネットワーク２０を介して認証サーバ３０に接続された構成を有する。ネットワーク２０として、公衆回線網、インターネット、イントラネットなどで形成される通信網を用いることができる。

クライアント端末１０は、ＩＤ入力部１１、画像処理部１２、特徴抽出部１３、品質抽出部１４、通信部１５、およびセンサー４０を含む。認証サーバ３０は、登録テンプレート記憶部３１、マッチャー３２、アクセス制御部３３、認証結果管理部３４、および傾向抽出部３５を含む。

図６は、クライアント端末１０および認証サーバ３０の機器構成図である。図６を参照して、クライアント端末１０は、ＣＰＵ（中央演算処理装置）１０１、ＲＡＭ（ランダムアクセスメモリ）１０２、ＨＤＤ（ハードディスクドライブ）１０３、入出力インタフェース１０４、ＬＡＮインタフェース１０５等を備える。各機器は、バスによって接続されている。ＣＰＵ１０１がＨＤＤ１０３等に記憶されているプログラムを実行することによって、クライアント端末１０に、ＩＤ入力部１１、画像処理部１２、特徴抽出部１３および品質抽出部１４が実現される。また、ＬＡＮインタフェース１０５が通信部１５として機能する。

認証サーバ３０は、ＣＰＵ（中央演算処理装置）２０１、ＲＡＭ（ランダムアクセスメモリ）２０２、ＨＤＤ（ハードディスクドライブ）２０３、入出力インタフェース２０４、ＬＡＮインタフェース２０５等を備える。各機器は、バスによって接続されている。ＣＰＵ２０１がＨＤＤ２０３等に記憶されているプログラムを実行することによって、認証サーバ３０に、登録テンプレート記憶部３１、マッチャー３２、アクセス制御部３３、認証結果管理部３４、および傾向抽出部３５が実現される。

図５を参照して、ＩＤ入力部１１は、ユーザにより入力されたユーザＩＤを取得する。画像処理部１２は、センサー４０から入力された指紋画像データを取得する。次に、画像処理部１２は、指紋画像データからノイズを除去するなどの画像の補正を行い、特徴抽出部１３に指紋画像データをわたす。特徴抽出部１３は、指紋画像データから照合用指紋データを生成し、品質抽出部１４にわたす。品質抽出部１４は、指紋画像データから所定の品質判定方法により照合用指紋データの品質を抽出する。通信部１５は、クライアント端末１０のＩＰアドレス、生体認証種別、ユーザＩＤ、照合用指紋データ、照合用指紋データの品質等を含むユーザ識別情報を、認証要求とともに認証サーバ３０に送信する。図７は、ユーザ識別情報の一例を説明するための図である。なお、生体認証種別とは、指紋認証、静脈認証等の、生体認証の種別を特定するための情報である。

マッチャー３２は、ユーザ識別情報に含まれるユーザＩＤに該当する登録テンプレートを登録テンプレート記憶部３１から取得し、クライアント端末１０から送信された照合用指紋データとのマッチングを行う。マッチャー３２は、マッチングの結果得られる照合スコアを算出する。照合スコアは、マッチングにおける一致度と同義であり、マッチングにおける一致度が高いほど高くなる。アクセス制御部３３は、照合スコアがあらかじめ定義された閾値以上であれば、クライアント端末１０に認証成功（Ｙｅｓ）を返す。一方、アクセス制御部３３は、照合スコアが閾値未満なら認証失敗（Ｎｏ）を返し、クライアント端末１０に生体認証を再度要求する。

認証結果管理部３４は、認証結果を蓄積する。図８は、認証結果の一例を説明するための図である。認証結果には、ユーザＩＤ、生体認証種別、照合用生体データ、照合用生体データ品質、照合スコア、認証結果等が含まれる。照合用生体データ品質は、指紋認証で使用される特徴点の数、画素値のヒストグラムから算出されるピーク値等を用いて判定される。

図９は、指紋認証画像の画素値のヒストグラムの一例を説明するための図である。図９を参照して、画素値のヒストグラムには、隆線および谷線の２つのピーク値が現われる。この２つのピーク値の距離ｄが所定値よりも大きければ、指紋の隆線と谷線とが鮮明に現われていることになる。したがって、当該照合用生体データは、指紋認証に適したデータとみなすことができるため、高い品質値を有している。これに対して、２つのピーク値の距離ｄが所定値よりも小さければ、指紋の隆線と谷線とが鮮明に現われていないことになる。したがって、当該照合用生体データは、指紋認証に適していないデータとみなすことができる。

なお、照合用指紋データおよび登録テンプレートは、指紋画像データを数値化して作成されたものであり、照合で使用される特徴点情報、形状情報等を含んでいる。図１０は、品質の高い指紋画像データの例である。図１０の指紋画像データは、指紋の隆線と谷線とが明瞭に映っている。

図１１（ａ）〜図１４（ｂ）は、品質の低い指紋画像データの例である。図１１（ａ）および図１１（ｂ）の指紋画像データでは、指紋が白くかすれている。このような指紋画像データは、指が乾燥している場合に作成され易い傾向がある。図１２（ａ）および図１２（ｂ）の指紋画像データでは、指紋が黒く塗りつぶされている。このような指紋画像データは、指が湿潤状態の場合に作成され易い傾向がある。図１３の指紋画像データでは、指紋の隆線と谷線とが不明瞭である。このような指紋画像データは、指を強く押しすぎた時に作成され易い傾向がある。図１４（ａ）および図１４（ｂ）の指紋画像データは、指紋の読み取り時に問題がある例である。図１４（ａ）は、指を手前に置きすぎた例である。図１４（ｂ）は、指が指紋センサーの右側にずれた例である。このような指紋画像データは、指紋認証に必要な特徴点情報、形状情報等が欠落している。照合用指紋データの品質が低い場合、マニューシャ（指紋分岐点および端点）の抽出精度（抽出の再現性）が悪くなり、照合時に登録テンプレートとの一致度が低くなる傾向がある。図１５は、照合スコアの変動データの一例を示す。図１６は、照合用指紋データ品質の変動データの一例を示す。

品質が高い指紋画像データは、指紋認証に適しており、指紋認証に成功する可能性が高い。逆に、品質が低い指紋画像データは、指紋認証に失敗し易い性質がある。正規のユーザが連続して認証失敗する場合は、照合用生体データ品質が低く、照合スコアも低い状態が続く傾向にある。一方で、不正アクセスで認証失敗が継続する場合は、不正アクセス者が、あらかじめ準備した照合用生体データのセットから照合用生体データをピックアップし、あるいは照合用生体データを加工して認証サーバ３０に送付する。この場合、照合用生体データ品質がばらつきかつ照合スコアがばらつく傾向、照合用生体データ品質が一定であるにも係らず照合スコアがばらつく傾向等がある。そこで、本実施例においては、連続して認証失敗した場合に、このような不正アクセスで見られる照合用生体データ品質および照合スコアの変動の組み合わせに着目して、不正アクセスを判断する。図１７に、具体的な不正アクセス判定ポリシーを示す。照合スコアの分散値および照合用指紋データ品質の分散値が所定値よりも大きいと、ばらついていると判断することができる。

図１８は、不正アクセス判断処理の流れを示すフローチャートである。図１８を参照して、認証サーバ３０の傾向抽出部３５は、認証結果から所定の期間の照合スコアの変動データを抽出する（ステップＳ１）。一例として、照合スコアの変動データとして、ユーザＩＤ毎に３分間に連続して５回以上認証失敗した場合の照合スコアの分散値を抽出する。次に、傾向抽出部３５は、認証結果から所定の期間の照合用指紋データ品質の変動データを抽出する（ステップＳ２）。一例として、照合用指紋データ品質の変動データとして、ユーザＩＤ毎に３分間に連続して５回以上認証失敗した場合の照合用指紋データ品質の分散値を抽出する。図１９に、その結果を示す。

次に、傾向抽出部３５は、図２０に示すあらかじめ定義された不正アクセス判定ポリシーを用いて、ユーザＩＤ毎に不正アクセスの判定を実施する（ステップＳ３）。図２０の不正アクセス判定ポリシー例では、照合スコアの分散値が所定以上（例えば１０以上）か照合用指紋データ品質の分散値が所定値以上（例えば１０以上）の場合を不正アクセスと判定する。次に、傾向抽出部３５は、不正アクセス（アタック）が検知されたか否かを判定する（ステップＳ４）。ステップＳ４において「Ｙｅｓ」と判定された場合、アクセス制御部３３は、当該ユーザの指紋認証を無効化するとともに、システム管理者にその旨を通知する。図１９の例では、認証結果からユーザＩＤがＵｓｅｒ０００１の照合スコアの分散値が１０のため、アクセス制御部３３は、Ｕｓｅｒ０００１の認証要求をアタックと判定し、システム管理者にその旨を通知する。その後、フローチャートの実行が終了する。また、ステップＳ４において「Ｎｏ」と判定された場合においても、フローチャートの実行が終了する。

上述したように、正規のユーザが連続して指紋認証失敗する場合と、不正アクセスが試行されて連続して指紋認証失敗した場合との間で、照合スコアおよび照合用生体データ品質の変動の仕方が異なっている。本実施例では、この特性を利用して、不正アクセスを判断する。したがって、連続して認証失敗をしているユーザが正規のユーザであるか不正アクセス者であるか判別可能である。また、正規の利用者の利便性を損なわずに、不正アクセスが試行されているユーザＩＤに対してのみ、指紋認証の無効化、照合閾値の高値化などの対策をとることができる。

（他の例）
続いて、不正アクセス判断方法の他の処理について説明する。処理の流れは図１８で示した不正アクセス判断処理の流れと同じである。ただし、本例では、図１８のステップ３の不正アクセス判定処理を行う際の処理が異なる。本例では、傾向抽出部３５が、図２１に示すように照合スコアの分散値および照合用指紋データ品質の分散値に、図２２に示す重みを乗じてリスク評価値を算出する。さらに、傾向抽出部３５は、図２３の不正アクセス判定ポリシーを用いて、不正アクセスを判定する。

重みの設定は、任意に設定可能である。例えば、短期間に特定のユーザの認証失敗が集中した場合等に重みを高い値に設定してもよい。図２２の例では、初めて指紋認証を使用するユーザは、指紋入力操作が不慣れなことを考慮して、１回目に認証失敗した時の重みが１に設定されている。さらに、２回目に認証失敗した時の重みを２に、ｎ回目に認証失敗した時の重みをｎと、回数が増えるに従い重みを大きく設定している。重みの設定は、あらかじめシステムで定義しておいてもよいし、認証結果から動的に変更されてもよい。

図２３の例では、リスク評価値が所定値以上（例えば１００以上）の場合に、アタックにより連続して認証失敗していると判定され、リスク評価値が所定値未満（例えば１００未満）の場合に、正規のユーザが連続して認証失敗していると判定される。図２１の例では、Ｕｓｅｒ０００１のリスク評価値が１００であるため、Ｕｓｅｒ０００１はアタックと判定される。

本例によれば、照合スコアの分散値および照合用指紋データ品質の分散値に対する重みを使ってリスク評価を行い、不正アクセスを判断することができる。それにより、指紋入力操作が不慣れなために連続して認証失敗していた正規のユーザの検出精度が高くなるなどの、正規のユーザの認証失敗と不正アクセスによる認証失敗を判断する精度を向上させることができる。

（他の例）
続いて、不正アクセス判断方法のさらに他の処理について説明する。処理の流れは図１８で示した不正アクセス判断処理の流れと同じである。ただし、本例では、ステップ３の不正アクセス判定処理を行う際の処理が異なる。本例では、傾向抽出部３５は、認証結果に含まれる照合用指紋データから図２４に示すような所定期間における特徴点の位置の変動データを抽出する。図２４では、特徴点の位置の変動データとして、ユーザＩＤ毎に３分間に連続して５回以上認証失敗した場合の特徴点の位置を抽出する。図２４の例では、Ｕｓｅｒ０００１の特徴点の位置データを抽出している。

図２４を参照して、特徴点０００００００２以外の特徴点の位置は同じであるが、特徴点０００００００２は毎回変動している。なお、照合用指紋データは、認証結果の中に暗号化されて格納されているため、バイナリ形式で記述されている。したがって、傾向抽出部３５が照合用指紋データの内容をチェックするためには、暗号化されたデータを複合化する必要がある。図２５に、複合化した照合用指紋データの例を示す。

次に、傾向抽出部３５は、図２６に示す不正アクセス判定ポリシーを用いて、不正アクセスを判定する。ここで、指紋認証では、指紋入力操作にぶれが生じた場合に、特徴点の位置がぶれる場合がある。そこで、（ｘ，ｙ）座標値の微妙なずれ（例えばｘ座標値が１ずれた場合等）がある場合でも、同じ位置と判定してもよい。図２６の例では、照合スコアの分散値が所定値以上（例えば１０以上）または照合用指紋データ品質の分散値が所定値以上（例えば１０以上）で、且つ所定割合以上（例えば９割以上）の特徴点の位置が同じで、毎回位置が異なる特徴点がある場合に、アタックと判定する。Ｕｓｅｒ０００１は、実施例１で説明したように照合スコアの変動と照合用指紋データ品質の変動とが本条件に該当し、また、特徴点の位置の変動条件も図２４のデータから該当するために、アタックと判定される。

特徴点の位置の変動によって不正アクセスを判断すれば、ヒルクライムアタックにより照合用指紋データに含まれる特徴点の位置を不正に修正されて繰り返しアタックされた場合においても対応可能となる。また、照合スコアに分散値および照合用指紋データの変動をアタックの判定で使用するため、連続して認証失敗をしているユーザが正規のユーザか不正アクセス者か判別可能である。また、正規のユーザの利便性を損なわずに、不正アクセスが試行されているユーザＩＤに対してのみ指紋認証を無効化するなどの対策をとることができる。

（他の例）
続いて、不正アクセス判断方法のさらに他の処理について説明する。処理の流れは図１８で示した不正アクセス判断処理の流れと同じである。ただし、本例では、ステップ３の不正アクセス判定処理を行う際の処理が異なる。本例では、傾向抽出部３５は、認証結果に含まれる照合用指紋データから図２７に示すような所定期間における特徴点の角度の変動データを抽出する。図２７の例では、特徴点の角度の変動データとして、ユーザＩＤ毎に３分間に連続して５回以上認証失敗した場合の特徴点の角度を抽出する。図２７の例では、Ｕｓｅｒ０００１の特徴点の角度のデータを抽出している。

図２７を参照して、特徴点０００００００２以外の特徴点の角度は同じであるが、特徴点０００００００２の特徴点角度は毎回変動している。なお、照合用指紋データは、認証結果の中に暗号化されて格納されているため、バイナリ形式で記述されている。したがって、傾向抽出部３５が照合用指紋データの内容をチェックするためには、暗号化されたデータを複合化する必要がある。

図２８（ａ）および図２８（ｂ）は、特徴点の角度について説明するための図である。図２８（ａ）を参照して、指紋の隆線には、途中で枝分かれしている部分がある。また、図２８（ｂ）を参照して、指紋隆線には、途中で途切れている部分がある。この隆線の端点、分岐点等を指紋の特徴点と呼ぶ。こられの特徴点は、個人によってさまざまな分布を呈する。二つの指紋を比べる時、これらの特徴点の位置、形、方向を比べて、同一の指紋かどうか判断する方法がある。特徴点の角度とは、図２８（ａ）および図２８（ｂ）の矢印で示す通り、特徴点の位置を基準として特徴点の方向を数値で表現したものである。

次に、傾向抽出部３５は、図２９に示す不正アクセス判定ポリシーを用いて、不正アクセスを判定する。ここで、指紋認証では、指紋入力操作にぶれが生じた場合に、特徴点の角度がぶれる場合がある。そこで、角度の微妙なずれ（例えば５度ずれた場合等）がある場合でも、同じ角度と判定してもよい。図２９の例では、照合スコアの分散値が所定値以上（例えば１０以上）または照合用指紋データ品質の分散値が所定値以上（例えば１０以上）で、且つ所定割合以上（例えば９割以上）の特徴点の角度が同じで、毎回角度が異なる特徴点がある場合に、アタックと判定する。Ｕｓｅｒ０００１は、実施例１で説明したように照合スコアの変動と照合用指紋データ品質の変動が本条件に該当し、また、特徴点の角度の変動条件も図２７のデータから該当するために、アタックと判定される。

特徴点の角度の変動によって不正アクセスを判断すれば、ヒルクライムアタックにより照合用指紋データに含まれる特徴点の角度を不正に修正されて繰り返しアタックされた場合においても対応可能となる。また、照合スコアに分散値および照合用指紋データの変動をアタックの判定で使用するため、連続して認証失敗をしているユーザが正規のユーザか不正アクセスか判別可能である。また、正規のユーザの利便性を損なわずに、不正アクセスが試行されているユーザＩＤに対してのみ指紋認証を無効化するなどの対策をとることができる。

（他の例）
続いて、不正アクセス判断方法のさらに他の処理について説明する。処理の流れは図１８で示した不正アクセス判断処理の流れと同じである。ただし、本例では、ステップ３の不正アクセス判定処理を行う際の処理が異なる。本例では、傾向抽出部３５は、認証結果に含まれる照合用指紋データから図３０に示すような所定期間における特徴点の数の変動データを抽出する。図３０では、特徴点の数の変動データとして、ユーザＩＤ毎に３分間に連続して５回以上認証失敗した場合の特徴点の数を抽出する。

図３０を参照して、Ｕｓｅｒ０００１以外の特徴点の数は同じであるが、特徴点Ｕｓｅｒ０００１の特徴点の数は毎回変動している。なお、照合用指紋データは、認証結果の中に暗号化されて格納されているため、バイナリ形式で記述されている。したがって、傾向抽出部３５が照合用指紋データの内容をチェックするためには、暗号化されたデータを複合化する必要がある。

次に、傾向抽出部３５は、図３１に示す不正アクセス判定ポリシーを用いて、不正アクセスを判定する。ここで、指紋認証では、指紋入力時の圧力が強い場合に、特徴点が検出されない場合がある。そこで、特徴点の数に微妙なずれ（例えば特徴点が１つ減る場合等）がある場合でも、特徴点の数に大きなばらつきがなければ、特徴点の数が同じと判定してもよい。図３１の例では、照合スコアの分散値が所定値以上（例えば１０以上）または照合用指紋データ品質の分散値が所定値以上（例えば１０以上）で、且つ所定割合以上（例えば９割以上）の特徴点の数が同じで、毎回数が異なる特徴点がある場合に、アタックと判定する。Ｕｓｅｒ０００１は、実施例１で示したように照合スコアの変動と照合用指紋データ品質の変動が本条件に該当し、また、特徴点の数の変動条件も図３０のデータから該当するために、アタックと判定される。

特徴点の数の変動によって不正アクセスを判断すれば、ヒルクライムアタックにより照合用指紋データに含まれる特徴点の数を不正に修正されて繰り返しアタックされた場合においても対応可能となる。また、照合スコアに分散値および照合用指紋データの変動をアタックの判定で使用するため、連続して認証失敗をしているユーザが正規のユーザか不正アクセスか判別可能である。また、正規のユーザの利便性を損なわずに、不正アクセスが試行されているユーザＩＤに対してのみ指紋認証を無効化するなどの対策をとることができる。

（他の例）
続いて、不正アクセス判断方法のさらに他の処理について説明する。処理の流れは図１８で示した不正アクセス判断処理の流れと同じである。ただし、本例では、ステップ３の不正アクセス判定処理を行う際の処理が異なる。本例では、傾向抽出部３５は、認証結果に含まれる照合用指紋データから図３２に示すような所定期間における照合用指紋データを抽出する。図３２では、ユーザＩＤ毎に３分間に連続して５回以上認証失敗したユーザＩＤの照合用指紋データを抽出する。なお、図３２の例では、暗号化されたＵｓｅｒ０００１の１回目〜５回目の照合用指紋データは、全て異なっている。Ｕｓｅｒ００１１の１回目〜５回目の照合用指紋データは、全て同じものである。

次に、傾向抽出部３５は、図３３に示す不正アクセス判定ポリシーを用いて、不正アクセスを判定する。図３３の例では、照合スコアの分散値が所定値以上（例えば１０以上）または照合用指紋データ品質の分散値が所定値以上（例えば１０以上）で、且つ５回以上連続して照合用指紋データが異なる場合に、アタックと判定する。

照合用指紋データの組み合わせによって不正アクセスを判断すれば、ヒルクライムアタックにより照合用指紋データを不正に変更・設定して繰り返しアタックされた場合においても対応可能となる。また、照合スコアの変動と照合用指紋データ品質の変動をアタックの判定で使用するため、連続して認証失敗をしているユーザが正規のユーザか不正アクセス者か判別可能である。また、正規のユーザの利便性を損なわずに、不正アクセスが試行されているユーザＩＤに対してのみ指紋認証を無効化するなどの対策をとることができる。

なお、指紋認証では、最大１０指まで登録できるため、１１回以上連続して異なる照合用指紋データが入力されることはない。通常は、１０指のうち２〜３指が指紋認証で使用されるため、上記の５回以上の条件設定例を記述した。親指、小指、および利き手ではない方の指は、指紋の入力操作が困難なためにあまり使用されない。

図３４は、実施例２に係る不正アクセス検知装置を備えた生体認証システム１００ａのブロック図である。図３４を参照して、生体認証システム１００ａにおいては、認証サーバ３０の代わりに認証サーバ３０ａが備わっている。認証サーバ３０ａが認証サーバ３０と異なる点は、コード生成部３６およびコードチェック部３７をさらに備えている点である。図６のＣＰＵ２０１がＨＤＤ２０３等に記憶されているプログラムを実行することによって、認証サーバ３０ａに、コード生成部３６およびコードチェック部３７が実現される。本実施例においては、ＩＤ入力部１１、画像処理部１２、特徴抽出部１３、および品質抽出部１４は、通信部１５を介して、コード生成部３６およびコードチェック部３７と通信することができる。

ＩＤ入力部１１は、利用者により入力されたユーザＩＤを取得する。また、センサー４０ａは、指紋データが入力されると、通信部４１を介して認証サーバ３０ａにアクセスし、コード生成部３６からコードを取得して、指紋画像データにコードを記述する。画像処理部１２は、コードが付与された指紋画像データをセンサー４０ａから受け取り、通信部１５を介して、指紋画像データに含まれるコードおよびユーザＩＤを認証サーバ３０ａに送付する。

図３５は、センサー４０ａから取得した画像に含まれる情報を説明するための図である。センサー４０ａから取得された画像には、ヘッダー情報、指紋画像データサイズ、指紋画像データ開始位置、指紋画像データ等が含まれる。センサー４０ａは、通信部４１を介してコードを取得すると、ヘッダー情報に該コードを記述する。なお、コード生成部３６で生成されるコードは、ユーザＩＤ、時間情報等をシード値として自動的に生成され、毎回異なっている。ヘッダー情報に含めるコードは、センサー４０ａから取得した指紋画像データ用コードと、画像処理部１２で補正された指紋画像データ用コードとがある。画像処理部１２が受け取る指紋画像データには前者が、特徴抽出部１３が受け取る指紋画像データには後者が設定される。

図３６（ａ）および図３６（ｂ）は、コード記述例を説明するための図である。図３６（ａ）は、センサー４０ａから取得されたＵｓｅｒ０００１の指紋画像データにコードを付与する例である。図３６（ｂ）は、不正に指紋画像データが変更された例である。

コードチェック部３７は、クライアント端末１０から送信されたユーザＩＤおよびコードを、コード生成部３６でコードを生成した時に保管しておいたコード管理テーブルと照合し、コードが一致するかどうかチェックする。図３７に、コード管理テーブルの一例を示す。コードが一致した場合は、画像処理部１２が指紋画像データのノイズ除去などの画像補正を行う。また、画像処理部１２は、通信部１５を介してコード生成部３６から画像処理部１２で補正した指紋画像データに付与するコードを受け取り、指紋画像データに記述する。

一方、コードが一致しない場合は、コードチェック部３７がクライアント端末１０にエラーを返し、認証処理を中断する。次に、コードが一致した場合、特徴抽出部１３が指紋画像データから画像処理部１２で補正された指紋画像データ用コードを抽出し、通信部１５を介して、指紋画像データに含まれるコードおよびユーザＩＤを認証サーバ３０ａに送付する。

コードチェック部３７は、同様にクライアント端末１０から送信されたユーザＩＤおよびコードを、コード生成部３６でコードを生成した時に保管しておいた情報と照らし合わせて、一致するかどうかチェックする。コードが一致した場合は、特徴抽出部１３は、照合用指紋データを生成し、通信部１５を介して、コード生成部３６から照合用指紋データに付与するコードを受け取り、照合用指紋データに記述する。図３８に、照合用指紋データへのコード記述の例を示す。図３８の例では、コード生成部３６が生成したコードがヘッダー情報に記述されている。

一方、コードが一致しない場合は、コードチェック部３７は、クライアント端末１０にエラーを返し、認証処理を中断する。次に、照合用指紋データのコードが一致した場合、品質抽出部１４は、照合用指紋データから照合用指紋データ用コードを抽出し、通信部１５を介して、照合用指紋データに含まれるコードおよびユーザＩＤを認証サーバ３０ａに送信する。コードチェック部３７は、同様にクライアント端末１０から送信されたユーザＩＤおよびコードを、コード生成部３６でコードを生成した時に保管しておいたコード管理テーブル（図３７）と照らし合わせて、一致するかどうかチェックする。コードが一致した場合に、クライアント端末１０は、通信部１５を介して認証サーバ３０ａに認証要求を出す。以後の認証サーバ３０ａの処理は、実施例１と同じである。一方、コードが一致しない場合は、コードチェック部３７がクライアント端末１０にエラーを返し、認証処理を中断する。

図３９は、センサー４０ａの詳細について説明するための図である。図３９を参照して、センサー４０ａは、通信部４１およびセンサー部４２を含む。また、通信部４１は、コード付与制御モジュール４３および無線モジュール４４を含む。センサー部４２から指紋が入力された時に、コード付与制御モジュール４３が無線ＬＡＮを経由して認証サーバ３０ａからコードを取得して、指紋画像データに付与する。

以下、具体例について説明する。ＩＤ入力部１１が、利用者により入力されたユーザＩＤ（Ｕｓｅｒ０００１）を取得したとする。この場合、センサー４０ａは、指紋データが入力されると、無線モジュール４４を介して認証サーバ３０ａにアクセスし、コード生成部３６からコードを取得して、センサー４０ａから入力された指紋画像データにコードを記述する。

図３６（ａ）の例では、0000000000000000013のコードが記述されている。次に、画像処理部１２は、センサー４０ａから入力された指紋画像データを受け取り、コード部分を抽出する。図３６（ｂ）の例では、不正に指紋画像データが変更されたため、指紋画像データからコード0000000000000100000を抽出する。次に、画像処理部１２は、ユーザＩＤ（Ｕｓｅｒ０００１）とともに指紋画像データから抽出したコード0000000000000100000を、通信部１５を介して認証サーバ３０ａに送付する。

コードチェック部３７は、コード生成部３６でコードを生成した時に保管しておいたコード管理テーブル（図３７）を参照する。コードチェック部３７は、センサー４０ａから取得した指紋画像データのコードである0000000000000000013を抽出し、クライアント端末１０から送付されたコード0000000000000100000と照らし合わせる。コードチェック部３７は、２つのコードが一致しないために、センサー４０ａから取得した指紋画像データの正当性の確認がとれなかったものと判断する。この場合、コードチェック部３７は、クライアント端末１０にエラーを返し、処理を中断する。

上述したように、画像処理部１２に渡される指紋画像データが、センサー４０ａから取得された指紋画像データか、不正アクセス者があらかじめ準備した指紋画像データのデータセットから渡された指紋画像データかを判別可能となる。図１および図２の例では、Ｔｙｐｅ１によるアタックに対しても防御可能である。

（他の例）
不正アクセス判断処理の他の例について説明する。まず、ＩＤ入力部１１が、利用者により入力されたユーザＩＤ（Ｕｓｅｒ０００１）を取得する。画像処理部１２は、センサー４０ａから取得した指紋画像データの正当性チェックを行い、正当性が確認できた場合に、指紋画像データに対してノイズ除去などの画像補正を行う。

次に、画像処理部１２は、通信部１５を介して認証サーバ３０ａにアクセスし、コード生成部３６から、Ｕｓｅｒ０００１のコードを取得して、補正後の指紋画像データにコードを記述する。図４０（ａ）の例では、画像処理部１２で補正された指紋画像データに対して0000000000000100110のコードが付与される。次に、特徴抽出部１３は、画像処理部１２から補正後の指紋画像データを受け取り、コードを抽出する。図４０（ｂ）の例では、不正に指紋画像データが変更されたため、補正後の指紋画像データからコード0000000000000100001を抽出する。

次に、特徴抽出部は、ユーザＩＤ（Ｕｓｅｒ０００１）とともに指紋画像データから抽出したコード0000000000000100001を、通信部１５を介して認証サーバ３０ａに送信する。コードチェック部３７は、コード生成部３６でコードを生成した時に保管しておいたコード管理テーブル（図３７）を参照する。コードチェック部３７は、画像処理部１２で補正した指紋画像データのコード0000000000000100110を抽出し、クライアント端末１０から送信されたコード0000000000000100001と照らし合わせる。コードチェック部は、２つのコードが一致しないために、画像処理部１２で補正した指紋画像データの正当性の確認がとれなかったものと判断する。この場合、コードチェック部３７は、クライアント端末１０にエラーを返し、処理を中断する。

図４１は、本例に用いられるセンサー４０ａの詳細を説明するための図である。図４１を参照して、センサー４０ａは、通信部４５および画像処理部４６を含んでいてもよい。また、通信部４５は、コード付与制御部４７および通信制御部４８を含んでいてもよい。コード付与制御部４７は、通信制御部４８を介して、認証サーバ３０ａからコードを取得して、補正後の指紋画像データにコードを付与する。

上述したように、特徴抽出部１３に渡される指紋画像データが、センサー４０ａから取得された指紋画像データか、不正アクセス者があらかじめ準備した指紋画像データのデータセットから渡された指紋画像データかを判別可能となる。図１および図２の例では、Ｔｙｐｅ２によるアタックに対しても防御可能である。

（他の例）
不正アクセス判断処理の他の例について説明する。まず、ＩＤ入力部１１が、利用者により入力されたユーザＩＤ（Ｕｓｅｒ０００１）を取得する。画像処理部１２は、センサー４０ａから取得した指紋画像データの正当性チェックを行い、正当性が確認できた場合に、指紋画像データに対してノイズ除去などの画像補正を行う。

次に、画像処理部１２は、補正された指紋画像データの正当性を確認し、正当性の確認がとれた場合に、特徴抽出部１３に補正された指紋画像データを送付する。次に、特徴抽出部１３は、補正された指紋画像データから照合用データを作成し、通信部１５を介して認証サーバ３０ａにアクセスし、コード生成部３６からＵｓｅｒ０００１のコードを取得し、照合用生体データにコードを記述する。

図３７のコード管理テーブルの例では、画像処理部１２で補正された指紋画像データに対して0000000002000000004のコードが付与される。図４２（ａ）は、コード付与の例を示す。次に、品質抽出部１４は、特徴抽出部１３から照合用指紋データを受け取り、コードを取得する。ここで、図４２（ｂ）に示すように、不正に指紋画像データが変更されたとする。図４２（ｂ）の例では、不正に照合用指紋データが変更されたため、照合用指紋データからコード0000000000000100005を抽出する。次に、品質抽出部１４は、ユーザＩＤとともに照合用指紋データから抽出したコード0000000000000100005を、通信部１５を介して認証サーバ３０ａに送信する。

コードチェック部３７は、コード生成部３６でコードを生成した時に保管しておいたコード管理テーブル（図３７）を参照する。コードチェック部３７は、特徴抽出部１３で生成した照合用指紋データのコードである0000000002000000004を抽出し、クライアント端末１０から送信されたコード0000000000000100005と照らし合わせる。コードチェック部３７は、２つのコードが一致しないために、特徴抽出部１３で生成した照合用指紋データの正当性の確認がとれなかったものと判断する。この場合、コードチェック部３７が、クライアント端末１０にエラーを返し、処理を中断する。

図４３は、本例に用いられるセンサー４０ａの例である。図４３を参照して、センサー４０ａは、通信部４５および特徴抽出部４９を含んでいてもよい。また、通信部４５は、コード付与制御部４７および通信制御部４８を含む。コード付与制御部４７は、通信制御部４８を介して、認証サーバ３０ａからコードを取得して、照合用指紋データにコードを付与する。

上述したように、品質抽出部１４に渡される照合用指紋データが、特徴抽出部１３で生成された照合用指紋データか、不正アクセス者があらかじめ準備した照合用指紋データのデータセットから渡された照合用指紋データかを判別可能となる。図１および図２の例では、Ｔｙｐｅ３によるアタックに対しても防御可能である。

図４４は、実施例３に係る不正アクセス検知装置を備えた生体認証システム１００ｂのブロック図である。図４４を参照して、生体認証システム１００ｂにおいては、認証サーバ３０の代わりに認証サーバ３０ｂが備わっている。認証サーバ３０ｂが認証サーバ３０と異なる点は、画面制御部３８がさらに備わっている点である。図６のＣＰＵ２０１がＨＤＤ２０３等に記憶されているプログラムを実行することによって、認証サーバ３０ｂに、画面制御部３８が実現される。

ＩＤ入力部１１は、利用者により入力されたユーザＩＤを取得する。画像処理部１２は、センサー４０から入力された指紋画像データを取得し、画像処理部１２にわたす。次に、画像処理部１２は、指紋画像データからノイズを除去するなど画像の補正を行い、特徴抽出部１３に指紋画像データを渡す。特徴抽出部１３は、指紋画像データから照合用指紋データを生成する。品質抽出部１４は、指紋画像データから上述した品質判定方法により照合用指紋データの品質を抽出する。通信部１５は、クライアント端末１０のＩＰアドレス、生体認証種別、ユーザＩＤ、照合用指紋データ、照合用指紋データの品質等を含むユーザ識別情報を、認証要求とともに認証サーバ３０ｂに送信する。

認証サーバ３０ｂのマッチャー３２は、クライアント端末１０から送信されたユーザ識別情報に含まれるユーザＩＤに該当する登録テンプレートを、登録テンプレート記憶部３１から取得する。マッチャー３２は、クライアント端末１０から送信された照合用指紋データとのマッチングを行う。マッチャー３２は、マッチングの結果得られる照合用スコアを算出する。アクセス制御部３３は、照合スコアがあらかじめ定義された閾値以上であれば、クライアント端末１０に認証成功（Ｙｅｓ）を返す。一方、アクセス制御部３３は、照合スコアが閾値未満なら認証失敗（Ｎｏ）を返し、利用者によるシステムへのアクセスを禁止する。認証結果管理部３４は、認証結果を蓄積する。

連続して認証失敗を繰り返した場合に、傾向抽出部３５は、認証結果からユーザＩＤ毎に所定の期間の照合スコアの変動データおよび照合用指紋データ品質の変動データを抽出する。傾向抽出部３５は、アタックと判断した場合、さらに、所定の回数分、認証失敗をクライアント端末１０に返し、繰り返しクライアント端末１０に認証要求を送信する。認証結果管理部３４は、その間、認証結果を蓄積する。一方で、傾向抽出部３５は、アタックパターンを自動学習し、不正アクセス判定ポリシーにアタックパターンを反映する。

図４５は、アタックパターンの自動学習の際に実行されるフローチャートの一例を説明するための図である。図４５を参照して、傾向抽出部３５は、認証結果から、所定の期間の照合スコア変動データ（分散値）を抽出する（ステップＳ１１）。次に、傾向抽出部３５は、認証結果から、所定期間の照合用指紋データの品質変動データ（分散値）を抽出する（ステップＳ１２）。次に、傾向抽出部３５は、ステップＳ１およびステップＳ２で得られたデータから、不正アクセス判定ポリシーに、不正アクセスのパターンを反映する（ステップＳ１３）。その後、フローチャートの実行が終了する。

図４６は、アタックパターンの自動学習結果の一例を説明するための図である。図４６の例では、不正アクセスにより、Ｕｓｅｒ０００１の指紋認証要求が連続して認証サーバに入力された場合の照合スコアの分散値が１０、照合用指紋データ品質の分散値が９であることがわかる。

認証失敗が所定回数に達すると、画面制御部３８は、偽のログイン画面を表示し、認証成功を返す。その後、画面制御部３８は、定期的にクライアント端末１０とのセッションを切断した様に見せかけ、再度、クライアント端末１０に認証要求を送信する。同様に、認証結果管理部３４は、ログを蓄積する。傾向抽出部３５は、アタックパターンを自動学習する。アクセス制御部３３は、不正アクセス判定ポリシーにアタックパターンを反映する。図４７は、不正アクセスのパターンが反映された不正アクセス判定ポリシーの一例を説明するための図である。図４７の例では、Ｕｓｅｒ０００１の不正アクセス判定基準を照合スコアの分散値≧所定値（例えば１０）、または、照合用指紋データ品質の分散値≧所定値（例えば９）に変更されている。

本実施例によれば、不正アクセスのパターンが不正アクセス判定ポリシーに自動的に反映される。それにより、システム開発者が指紋認証に関する高度な専門知識をもっていなくても、容易にアタック対策を図ることができる。また、認証サーバ３０ｂがアタックと判定した時に継続的にアタックパターンを抽出することが可能である。それにより、システム管理者の手間をかけずに、不正アクセス検出の精度を自動的に向上させることができる。なお、傾向抽出部３５は、上記のアタックパターンを、クライアント端末１０のＩＰアドレスごと、生体認証種別ごとに自動学習してもよい。

（他の例）
傾向抽出部３５は、所定期間における特徴点の位置の変動データを抽出してもよい。傾向抽出部３５は、あらかじめ定義された不正アクセス判定ポリシーを用いて、ユーザＩＤごとに不正アクセスの判定を実施する。本例に係る不正アクセス判定ポリシーでは、所定割合以上（例えば９割以上）の特徴点の位置が同じかつ毎回位置が異なる特徴点がある場合を不正アクセスと判定する。図２４の例では、所定割合以上（例えば９割以上）の特徴点の位置が同じであり、特徴点ID00000002の位置が毎回異なるため不正アクセスと判定される。

次に、アクセス制御部３３は、クライアント端末１０に更に所定回数（例えば５回まで）、認証失敗を返す。認証結果管理部３４は、その間の認証結果をログに蓄積する。傾向抽出部３５は、アタックパターンを自動学習する。図４８は、アタックパターンの自動学習結果を示す。図２４の例では、連続して認証失敗する毎に特徴点のＸの位置が１増加しているので、図４８のパターンID00000001が追加される。

その後、画面制御部３８は、クライアント端末１０に対して擬似的にシステムにログインしたように画面を表示し、定期的に擬似的にセッションを切断し、再度、所定の回数までクライアントからの認証要求を受付ける。傾向抽出部３５は、同様に図４８のアタックパターンを自動学習し、更新する。図４８の例では、パターンID00000002〜ID00000007が追加される。その後、画面制御部３８は、アクセス制御部３３に対して、図４８で自動学習したデータに基づき、不正アクセス判定基準に自動学習したパターン00000001〜00000007の内容を反映する。図４９は、自動学習した内容が反映された不正アクセス判定ポリシーの例を示す。

本例によれば、不正アクセス受信時の照合用指紋データに含まれる特徴点の位置の変動パターンを解析し、当該変動パターンが不正アクセス判定ポリシーに自動で反映される。それにより、システム開発者が指紋認証に関する高度な専門知識をもっていなくても、容易にアタック対策を図ることができる。また、認証サーバ３０ｂがアタックと判定した時に継続的にアタックパターンを抽出することが可能である。それにより、システム管理者の手間をかけずに、不正アクセス検出の精度を自動的に向上させることができる。

（他の例）
傾向抽出部３５は、所定期間における特徴点の角度の変動データを抽出してもよい。傾向抽出部３５は、あらかじめ定義された不正アクセス判定ポリシーを用いて、ユーザＩＤごとに不正アクセスの判定を実施する。本例に係る不正アクセス判定ポリシーでは、所定割合以上（例えば９割以上）の特徴点の角度が同じかつ毎回角度が異なる特徴点がある場合を不正アクセスと判定する。図２７の例では、所定割合以上（例えば９割以上）の特徴点の角度が同じであり、特徴点ID00000002の角度が毎回異なるため不正アクセスと判定される。

次に、アクセス制御部３３は、クライアントに更に所定回数（例えば５回まで）、認証失敗を返する。認証結果管理部３４は、その間の認証結果をログに蓄積する。傾向抽出部３５は、アタックパターンを自動学習する。図５０は、アタックパターンの自動学習結果を示す。図２７の例では、連続して認証失敗する毎に特徴点のＸの角度が１０度ずつ増加しているので、図５０のパターンID00000001が追加される。

その後、画面制御部３８は、クライアント端末１０に対して擬似的にシステムにログインしたように画面を表示させ、定期的に擬似的にセッションを切断し、再度、所定の回数までクライアント端末１０からの認証要求を受付ける。傾向抽出部３５は、同様に図５０のアタックパターンを自動学習し、更新する。図５０の例では、パターンID00000002が追加される。その後、画面制御部３８は、アクセス制御部３３に対して、図５０で自動学習したデータに基づき、不正アクセス判定基準に自動学習したパターンI00000001〜00000007の内容を反映する。図５１は、自動学習したパターンが反映された不正アクセス判定ポリシーの例を示す。

本例によれば、不正アクセス受信時の照合用指紋データに含まれる特徴点の角度の変動パターンを解析し、当該変動パターンが不正アクセス判定ポリシーに自動的に反映される。それにより、システム開発者が指紋認証に関する高度な専門知識をもっていなくても、容易にアタック対策を図ることができる。また、認証サーバ３０ｂがアタックと判定した時に継続的にアタックパターンを抽出することが可能である。それにより、システム管理者の手間をかけずに、不正アクセス検出の精度を自動的に向上させることができる。

（他の例）
傾向抽出部３５は、所定期間における特徴点の数の変動データを抽出してもよい。傾向抽出部３５は、あらかじめ定義された不正アクセス判定ポリシーを用いて、ユーザＩＤ毎に不正アクセスの判定を実施する。例えば、毎回特徴点の数が異なる場合を不正アクセスと判定する。図３０の例では、Ｕｓｅｒ０００１の特徴点の数が毎回異なるため不正アクセスと判定される。

次に、アクセス制御部３３は、クライアント端末１０に更に所定回数（ここでは、更に５回まで）認証失敗を返する。認証結果管理部３４は、その間の認証結果をログに蓄積する。傾向抽出部３５は、アタックパターンを自動学習する。図５２は、自動学習結果の一例を示す。図３０の例では、連続して認証失敗する毎に特徴点の数が1増加しているので、図５２のパターンID00000001が追加される。

その後、画面制御部３８は、クライアント端末１０に対して擬似的にシステムにログインしたように画面を表示させ、定期的に擬似的にセッションを切断し、再度、所定の回数までクライアント端末１０からの認証要求を受付ける。傾向抽出部３５は、同様に図５２のアタックパターンを自動学習し、更新する。図５２の例では、パターンID00000002が追加される。その後、画面制御部３８は、アクセス制御部３３に対して、図５２で自動学習したデータに基づき、不正アクセス判定基準に自動学習したパターンI00000001〜00000002の内容を反映する。図５３は、自動学習したパターンが反映された不正アクセス判定ポリシーの例を示す。

本例によれば、不正アクセス受信時の照合用指紋データに含まれる特徴点の数の変動パターンを解析し、当該変動パターンが不正アクセス判定ポリシーに自動的に反映される。それにより、システム開発者が指紋認証に関する高度な専門知識をもっていなくても、容易にアタック対策を図ることができる。また、認証サーバ３０ｂがアタックと判定した時に継続的にアタックパターンを抽出することが可能である。それにより、システム管理者の手間をかけずに、不正アクセス検出の精度を自動的に向上させることができる。

（他の例）
傾向抽出部３５は、所定の回数連続して認証失敗した場合の照合用指紋データの組み合わせの変動データを抽出してもよい。傾向抽出部３５は、あらかじめ定義された不正アクセス判定ポリシーを用いて、ユーザＩＤごとに不正アクセスの判定を実施する。本例に係る不正アクセス判定ポリシーでは、５回以上連続して照合用指紋データが異なる場合を不正アクセスと判定する。図３２の例では、Ｕｓｅｒ０００１の照合用指紋データが毎回異なるため不正アクセスと判定される。

アクセス制御部３３は、クライアント端末１０に更に所定回数（例えば５回まで）認証失敗を返す。認証結果管理部３４は、その間の認証結果をログに蓄積する。傾向抽出部３５は、アタックパターンを自動学習する。図５４は、アタックパターンの自動学習結果を示す。図５５は、認証結果に含まれる暗号化された照合用指紋データを復号化し、管理テーブルで管理した例である。図５４のアタックパターン管理テーブルでは、図５５の照合用指紋データ管理テーブルを使用することで、効率的に照合用指紋データの組み合わせを管理することができる。図５４の例では、連続して認証失敗した時に、毎回、異なる照合用指紋データがクライアントから送付されてきた例であり、図５４のパターンID00000001で照合用指紋データの組み合わせが追加される。

その後、画面制御部３８は、クライアント端末１０に対して擬似的にシステムにログインしたように画面を表示させ、定期的に擬似的にセッションを切断し、再度、所定回数までクライアント端末１０からの認証要求を受付ける。傾向抽出部３５は、同様に図５４のアタックパターンを自動学習し、更新する。図５４の例では、パターンID00000002が追加される。その後、画面制御部３８は、アクセス制御部３３に対して、図５４で自動学習したデータに基づき、不正アクセス判定基準に自動学習したパターンI00000001〜00000002の内容を反映する。図５６は、自動学習したパターンが反映された不正アクセス判定ポリシーの例を示す。

本例によれば、不正アクセス受信時の照合用指紋データの組み合わせを解析し、当該組合せが不正アクセス判定ポリシーに自動的に反映される。それにより、システム開発者が指紋認証に関する高度な専門知識をもっていなくても、容易にアタック対策を図ることができる。また、認証サーバ３０ｂがアタックと判定した時に継続的にアタックパターンを抽出することが可能である。それにより、システム管理者の手間をかけずに、不正アクセス検出の精度を自動的に向上させることができる。

図５７は、実施例４に係る不正アクセス検知装置５０を備えた生体認証システム１００ｃのブロック図である。生体認証システム１００ｃにおいては、認証サーバとは別の装置として、不正アクセス検知装置５０が設けられている。傾向抽出部３５は、認証サーバ３０ではなく、不正アクセス検知装置５０に備わっている。この構成によれば、不正アクセス検知を専用の装置で実行することにより、認証サーバ３０の負荷を軽減することができる。

以上、本発明の実施例について詳述したが、本発明は係る特定の実施例に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

（付記）
（付記１）
クライアント端末から受信した生体情報と、あらかじめ登録された生体情報とを比較照合した際の認証結果を管理する認証結果管理部と、
前記認証結果から照合スコアの変動傾向および照合用生体データ品質の変動傾向の抽出することによって不正アクセスを検知する傾向抽出部と、を備えることを特徴とする不正アクセス検知装置。
（付記２）
前記傾向抽出部は、抽出した照合スコアの変動および照合用生体データ品質の変動に対して、認証試行回数に応じた重み付けを行うことを特徴とする付記１記載の不正アクセス検知装置。
（付記３）
前記認証結果管理部は、照合用生体データを保持し、
前記傾向抽出部は、過去に入力された照合用生体データに含まれる特徴点の位置の変動を抽出し、前記照合スコアの変動、前記照合用生体データ品質の変動、および前記特徴点の位置の変動に基づいて、不正アクセスを検知することを特徴とする付記１記載の不正アクセス検知装置。
（付記４）
前記認証結果管理部は、照合用生体データを保持し、
前記傾向抽出部は、過去に入力された照合用生体データに含まれる特徴点の角度の変動を抽出し、前記照合スコアの変動、前記照合用生体データ品質の変動、および前記特徴点の角度の変動に基づいて、不正アクセスを検知することを特徴とする付記１記載の不正アクセス検知装置。
（付記５）
前記認証結果管理部は、照合用生体データを保持し、
前記傾向抽出部は、過去に入力された照合用生体データに含まれる特徴点の数の変動を抽出し、前記照合スコアの変動、前記照合用生体データ品質の変動、および前記特徴点の数の変動に基づいて、不正アクセスを検知することを特徴とする付記１記載の不正アクセス検知装置。
（付記６）
前記認証結果管理部は、照合用生体データを保持し、
前記傾向抽出部は、過去の認証時に設定された照合スコアの変動、照合用生体データ品質の変動、および照合用生体データの組合せに基づいて、不正アクセスを検知することを特徴とする付記１記載の不正アクセス検知装置。
（付記７）
任意のコードを生成し、前記クライアント端末の生体センサーが取得した生体情報に当該コードを付加するコード生成部と、
前記コード生成部によって付加されたコードと、前記生体センサーが取得した生体データが有するコードとの比較によって、当該生体データの正当性を検証するコードチェック部と、を備えることを特徴とする付記１〜６のいずれかに記載の不正アクセス検知装置。
（付記８）
任意のコードを生成し、前記クライアント端末の生体センサーが取得した生体情報を生体情報処理部が補正することによって得られた生体情報に当該コードを付加するコード生成部と、
前記コード生成部によって付加されたコードと、前記生体情報処理部が出力した生体情報が有するコードとの比較によって、当該生体データの正当性を検証するコードチェック部と、を備えることを特徴とする付記１〜６のいずれかに記載の不正アクセス検知装置。
（付記９）
任意のコードを生成し、前記クライアント端末の生体センサーが取得した生体情報を特徴抽出部が抽出することによって得られる照合用生体データに当該コードを付加するコード生成部と、
前記コード生成部によって付加されたコードと、前記特徴抽出部が出力した生体照合用データが有するコードとの比較によって、当該生体データの正当性を検証するコードチェック部と、を備えることを特徴とする付記１〜６のいずれかに記載の不正アクセス検知装置。
（付記１０）
生体認証ごとに認証成功情報または認証失敗情報を前記クライアント端末に送信するアクセス制御部を備え、
前記傾向抽出部は、不正アクセスを検知した場合に、所定回数まで前記クライアント端末に前記認証失敗情報を送信し、繰り返し入力される生体情報から照合スコアの変動および照合用生体品質の変動を自動学習することを特徴とする付記１〜９のいずれかに記載の不正アクセス検知装置。
（付記１１）
認証成功情報または認証失敗情報を前記クライアント端末に送信するアクセス制御部を備え、
前記傾向抽出部は、不正アクセスを検知した場合に、所定回数まで前記クライアント端末に前記認証失敗情報を送信し、繰り返し入力される生体情報から照合用生体データに含まれる特徴点の位置の変動を自動学習することを特徴とする付記１〜９のいずれかに記載の不正アクセス検知装置。
（付記１２）
認証成功情報または認証失敗情報を前記クライアント端末に送信するアクセス制御部を備え、
前記傾向抽出部は、不正アクセスを検知した場合に、所定回数まで前記クライアント端末に前記認証失敗情報を送信し、繰り返し入力される生体情報から照合用生体データに含まれる特徴点の角度の変動を自動学習することを特徴とする付記１〜９のいずれかに記載の不正アクセス検知装置。
（付記１３）
認証成功情報または認証失敗情報を前記クライアント端末に送信するアクセス制御部を備え、
前記傾向抽出部は、不正アクセスを検知した場合に、所定回数まで前記クライアント端末に前記認証失敗情報を送信し、繰り返し入力される生体情報から照合用生体データに含まれる特徴点の数の変動を自動学習することを特徴とする付記１〜９のいずれかに記載の不正アクセス検知装置。
（付記１４）
認証成功情報または認証失敗情報を前記クライアント端末に送信するアクセス制御部を備え、
前記傾向抽出部は、不正アクセスを検知した場合に、所定回数まで前記クライアント端末に前記認証失敗情報を送信し、繰り返し入力される生体情報から照合用生体データの組み合わせを自動学習することを特徴とする付記１〜９のいずれかに記載の不正アクセス検知装置。
（付記１５）
前記傾向抽出部によって不正アクセスが検知された場合に、擬似的に前記クライアント端末にログイン後の画面を表示させる画面制御部をさらに備え、
前記傾向抽出部は、前記ログイン後の画面を表示させた後に、前記クライアント端末に生体認証を再要求することを特徴とする付記１０〜１４のいずれかに記載の不正アクセス検知装置。
（付記１６）
クライアント端末から受信した生体情報と、あらかじめ登録された生体情報と、を比較照合した際の認証結果を管理する認証結果管理ステップと、
前記認証結果から照合スコアおよび照合用生体データ品質の変動傾向の抽出することによって不正アクセスを検知する傾向抽出ステップと、を含むことを特徴とする不正アクセス検知方法。

１０ クライアント端末
１１ ＩＤ入力部
１２ 画像処理部
１３ 特徴抽出部
１４ 品質抽出部
１５ 通信部
３０ 認証サーバ
３１ 登録テンプレート記憶部
３２ マッチャー
３３ アクセス制御部
３４ 認証結果管理部
３５ 傾向抽出部
３６ コード生成部
３７ コードチェック部
３８ 画面制御部
１００ 生体認証システム

Claims (10)

1. クライアント端末から受信した生体情報と、あらかじめ登録された生体情報とを比較照合した際の認証結果を管理する認証結果管理部と、
   前記認証結果から照合スコアの変動傾向および照合用生体データ品質の変動傾向の抽出することによって不正アクセスを検知する傾向抽出部と、を備えることを特徴とする不正アクセス検知装置。
2. 前記傾向抽出部は、抽出した照合スコアの変動および照合用生体データ品質の変動に対して、認証試行回数に応じた重み付けを行うことを特徴とする請求項１記載の不正アクセス検知装置。
3. 前記認証結果管理部は、照合用生体データを保持し、
   前記傾向抽出部は、過去に入力された照合用生体データに含まれる特徴点の位置の変動を抽出し、前記照合スコアの変動、前記照合用生体データ品質の変動、および前記特徴点の位置の変動に基づいて、不正アクセスを検知することを特徴とする請求項１記載の不正アクセス検知装置。
4. 前記認証結果管理部は、照合用生体データを保持し、
   前記傾向抽出部は、過去に入力された照合用生体データに含まれる特徴点の角度の変動を抽出し、前記照合スコアの変動、前記照合用生体データ品質の変動、および前記特徴点の角度の変動に基づいて、不正アクセスを検知することを特徴とする請求項１記載の不正アクセス検知装置。
5. 前記認証結果管理部は、照合用生体データを保持し、
   前記傾向抽出部は、過去に入力された照合用生体データに含まれる特徴点の数の変動を抽出し、前記照合スコアの変動、前記照合用生体データ品質の変動、および前記特徴点の数の変動に基づいて、不正アクセスを検知することを特徴とする請求項１記載の不正アクセス検知装置。
6. 前記認証結果管理部は、照合用生体データを保持し、
   前記傾向抽出部は、過去の認証時に設定された照合スコアの変動、照合用生体データ品質の変動、および照合用生体データの組合せに基づいて、不正アクセスを検知することを特徴とする請求項１記載の不正アクセス検知装置。
7. 任意のコードを生成し、前記クライアント端末の生体センサーが取得した生体情報に当該コードを付加するコード生成部と、
   前記コード生成部によって付加されたコードと、前記生体センサーが取得した生体データが有するコードとの比較によって、当該生体データの正当性を検証するコードチェック部と、を備えることを特徴とする請求項１〜６のいずれかに記載の不正アクセス検知装置。
8. 任意のコードを生成し、前記クライアント端末の生体センサーが取得した生体情報を生体情報処理部が補正することによって得られた生体情報に当該コードを付加するコード生成部と、
   前記コード生成部によって付加されたコードと、前記生体情報処理部が出力した生体情報が有するコードとの比較によって、当該生体情報の正当性を検証するコードチェック部と、を備えることを特徴とする請求項１〜６のいずれかに記載の不正アクセス検知装置。
9. 任意のコードを生成し、前記クライアント端末の生体センサーが取得した生体情報を特徴抽出部が抽出することによって得られる照合用生体データに当該コードを付加するコード生成部と、
   前記コード生成部によって付加されたコードと、前記特徴抽出部が出力した生体照合用データが有するコードとの比較によって、当該生体情報の正当性を検証するコードチェック部と、を備えることを特徴とする請求項１〜６のいずれかに記載の不正アクセス検知装置。
10. 不正アクセス検知装置が、
    クライアント端末から受信した生体情報と、あらかじめ登録された生体情報と、を比較照合した際の認証結果を管理する認証結果管理ステップと、
    前記認証結果から照合スコアおよび照合用生体データ品質の変動傾向を抽出することによって、不正アクセスを検知する傾向抽出ステップと、を実行することを特徴とする不正アクセス検知方法。

Images