ES2244049T3

ES2244049T3 - Control de seguridad.

Info

Publication number: ES2244049T3
Application number: ES98908207T
Authority: ES
Inventors: Maurice Merrick Gifford; Christopher Henry Seal; David John Mccartney
Original assignee: British Telecommunications PLC
Current assignee: British Telecommunications PLC
Priority date: 1997-03-03
Filing date: 1998-03-02
Publication date: 2005-12-01
Anticipated expiration: 2018-03-02
Also published as: CA2282016C; CA2282016A1; US20010014167A1; AU744065B2; JP2001513931A; DE69830306D1; US7424135B2; JP4169790B2; DE69830306T2; US6907135B2; AU6628998A; US20050147279A1

Abstract

SE PRESENTAN PROCEDIMIENTOS Y APARATOS DE COMPROBACION DE LA SEGURIDAD. EN MUCHAS COMPROBACIONES CONVENCIONALES DE LA SEGURIDAD SE REQUIERE EL REGISTRO O TRANSMISION DE UN CONJUNTO DE DATOS DE USUARIO ASOCIADO A LOS USUARIOS AUTORIZADOS CORRESPONDIENTES. CON ESTOS SISTEMAS SURGE EL PROBLEMA DE QUE PERSONAS NO AUTORIZADAS CONOZCAN EL CONJUNTO DE DATOS DE USUARIO. PARA SOLUCIONAR ESTE PROBLEMA, EN LA PRESENTE INVENCION SE PROPONE EL REGISTRO O TRANSMISION DE SOLO UNA PARTE DEL CONJUNTO DE DATOS DE USUARIO EN SECCIONES NO PROTEGIDAS DEL SISTEMA. POR EJEMPLO, SE PUEDE CONSEGUIR UNA COMPROBACION DE SEGURIDAD QUE IMPIDA EL ACCESO REMOTO NO AUTORIZADO A UN ORDENADOR COMPARTIDO (20) CAPTURANDO UN CONJUNTO DE DATOS DE USUARIO QUE REPRESENTA EL IRIS DEL USUARIO, ACTIVANDO EL ORDENADOR PERSONAL DEL USUARIO (10) PARA SELECCIONAR UNICAMENTE UNA PORCION DEL CONJUNTO DE DATOS CAPTURADO SOLICITADO POR EL ORDENADOR COMPARTIDO (20) Y TRANSMITIENDO LA PORCION A TRAVES DE UNA LINEA DE TELECOMUNICACIONES (16).EL ORDENADOR COMPARTIDO (20) DERIVA CONJUNTOS DE DATOS PARCIALES DE LOS CONJUNTOS DE DATOS DE USUARIO ALMACENADOS A TRAVES DE UNA SELECCION SIMILAR A LA UTILIZADA POR EL ORDENADOR PERSONAL (10) Y COMPARA EL CONJUNTO DE DATOS PARCIAL QUE HA DERIVADO CON EL CONJUNTO DE DATOS PARCIAL TRANSMITIDO POR EL ORDENADOR PERSONAL (10) PARA DECIDIR SI PERMITE EL ACCESO. TAMBIEN SE PRESENTAN DISPOSITIVOS Y TARJETAS DE PUNTOS DE VENTA QUE SOLO REGISTRAN CONJUNTOS DE DATOS DE USUARIO PARCIALES.

Description

Control de seguridad.

La presente invención se refiere a un procedimiento para proporcionar un control automático de seguridad. La presente invención tiene una utilidad particular, aunque no exclusiva, en relación con la seguridad de los ordenadores accesibles por medio de enlaces de telecomunicaciones.

En el nivel más básico, la provisión de un control de seguridad incluye una persona que sólo permite el paso a las personas que reconoce. No obstante, este sistema básico resulta impracticable cuando existe un gran número de personas autorizadas, siendo entonces imposible para la persona que efectúa el control de seguridad reconocer a cada una de dichas personas. Por este motivo, dichos controles se implementan a menudo facilitando, a todas las personas que están autorizadas para pasar el control, un dispositivo portátil en el que viene indicada dicha autorización. Para impedir que los dispositivos portátiles sean utilizados por personas distintas a los titulares de éstos, los dispositivos portátiles pueden ser creados de forma exclusiva para cada persona. Por ejemplo, los dispositivos pueden disponer de una fotografía de la persona autorizada o pueden incluir la firma de la persona autorizada. Un ejemplo del primer caso es el de un pasaporte que contiene una fotografía del propietario y un ejemplo del segundo caso, el de una tarjeta de garantía de cheques que está firmada por su propietario. Siempre que se considere que existe un parecido suficiente entre la fotografía y el aspecto de la persona o entre la firma de la persona y la firma de la tarjeta, el poseedor del pasaporte o de la tarjeta de garantía de cheques obtendrá la autorización para pasar el control de seguridad correspondiente (es decir, en el ejemplo dado, podrá pasar la frontera o efectuar un pago con cargo a una cuenta).

En muchos casos, resulta deseable automatizar la provisión de un control de seguridad. Esto se consigue habitualmente asignando a cada usuario autorizado una secuencia de datos que debe memorizar. Por ejemplo, el titular de una cuenta bancaria puede tener asignado un número de identificación personal (PIN), y una persona autorizada para acceder a un ordenador puede tener asignada una contraseña.

Más recientemente, se han diseñado controles de seguridad que incluyen una captura de datos que es, por lo menos en parte, dependiente de una medida biométrica, es decir, una medida estadística o cuantitativa de un rasgo biológico de una persona. Por ejemplo, en la patente U.S. nº 5.291.560 se da a conocer un dispositivo que toma una imagen del ojo de una persona para obtener datos que representan la distribución espacial de la luminancia presentada por su iris; convierte los datos de imagen en un "código del iris" que, a continuación, se compara con los códigos de iris almacenados de los usuarios autorizados. Se ha propuesto la captura de otro tipo de datos biométricos, tales como las firmas y las huellas dactilares. Por ejemplo, en la patente U.S. nº 4.993.068 se da a conocer un sistema de identificación personal no falsificable que genera versiones encriptadas unidireccionales de las credenciales biométricas (foto facial, barrido retinal, voz y huellas dactilares), y almacena estas credenciales en un dispositivo de memoria portátil del tamaño de una tarjeta de crédito. En un lugar de acceso remoto, el usuario presenta el dispositivo y se leen las credenciales. A continuación, el usuario se somete físicamente a la captura de su información biométrica en el lugar remoto y, entonces, ésta se compara con las credenciales obtenidas de un dispositivo de memoria.

Puede surgir un problema cuando la secuencia de datos utilizada en el control automático de seguridad cae en manos de una persona no autorizada, ya que dicha persona podrá utilizar entonces la secuencia de datos para infringir el control de seguridad.

Una forma de sortear el control de seguridad consiste en interceptar furtivamente la contraseña, el PIN o el código de iris del usuario autorizado, cuando éstos son transmitidos a través del enlace de comunicaciones en un intento de paso por el control de seguridad del usuario. A continuación, la contraseña, el PIN o el código del iris puede ser reenviado por la persona interceptadora para pasar el control de seguridad. En la presente memoria, el término "enlace de comunicaciones" abarca líneas telefónicas (de cable de cobre o de fibra óptica), enlaces de radio u otro tipo de enlaces de comunicación inalámbrica, cualquier cableado entre los dispositivos electrónicos situados en estructuras protectoras independientes y otros tipos de enlaces similares. Dicho cableado puede ser controlado mediante un dispositivo de registro conectado al enlace de comunicaciones o, tal vez, mediante supervisión de la radiación electromagnética emitida por el enlace.

Un problema similar surge cuando el dispositivo portátil de un usuario autorizado, que contiene una secuencia de datos almacenada (por ejemplo, el PIN de una tarjeta bancaria), es robado y leído.

Una manera normal de abordar estos problemas consiste en encriptar la contraseña o el PIN mediante un algoritmo de encriptado. No obstante, muchos sistemas comerciales se basan en técnicas de encriptado que han resultado ser vulnerables al ataque por los criptoanalistas competentes. Además, la percepción de la seguridad con respecto a otras técnicas de encriptado más avanzadas, tales como el encriptado RSA, se basa en el supuesto subyacente de que ciertas operaciones matemáticas son imposibles de llevar a cabo.

También es conocido actuar sobre una secuencia de datos mediante una función denominada "función de troceo unidireccional". La función actúa sobre la secuencia de datos para proporcionar una secuencia de datos más corta que es suficiente para obtener la "huella digital" de la secuencia de datos. Por ejemplo, el problema del almacenamiento de contraseñas en un servidor central puede evitarse almacenando en lugar de éstas las secuencias de datos acortadas resultantes de la aplicación de dicha función de troceo unidireccional a las contraseñas. Si las secuencias de datos acortadas coinciden, entonces es razonable suponer que la contraseña introducida por el usuario es válida. Esto permite proporcionar seguridad para las contraseñas sin necesidad de almacenar las propias contraseñas en el servidor central.

Tanto los algoritmos de encriptado como las funciones de troceo unidireccional conllevan una carga general de procesamiento significativa y no garantizan la seguridad. La carga general de procesamiento no es deseable en los sistemas comerciales, debido a que reduce la velocidad a la que pueden transmitirse los datos e incrementa el coste del equipo.

Según un aspecto de la presente invención, se proporciona un procedimiento para la provisión de un control automático de seguridad, comprendiendo dicho procedimiento las etapas siguientes:

utilización de un dispositivo de adquisición de datos de usuario para:

(a) obtener en una tentativa de paso por el control de seguridad por parte del usuario, un conjunto de datos del usuario, y

(b) generar un conjunto de datos parciales del usuario, incluyendo dicha generación efectuar una selección a partir del conjunto de datos del usuario, variando dicha selección entre las tentativas de paso por el control de seguridad;

transmisión de dicho conjunto de datos parciales por medio de un enlace de comunicaciones a un aparato de autenticación que puede utilizarse para proporcionar uno o más conjuntos de datos aceptables y

utilización de dicho aparato de autenticación para comparar dicho conjunto de datos parciales del usuario con dicho conjunto de datos aceptables para determinar si dicho usuario es una persona autorizada para pasar dicho control de seguridad.

Según un segundo aspecto de la presente invención, se proporciona un dispositivo portátil para permitir que la persona autorizada pase un control de seguridad, comprendiendo dicho dispositivo medios de almacenamiento en los que se almacena un conjunto de datos aceptables que comprende elementos seleccionados de un conjunto de datos del usuario asociado a dicha persona autorizada, sin codificar ninguno de los elementos restantes de dicho conjunto de datos del usuario.

Cuando se transmiten datos basados en elementos seleccionados de un conjunto mayor de datos de usuario asociado a una o varias personas autorizadas, y cuando el resto de los datos del usuario no puede deducirse a partir de los datos transmitidos, es posible restaurar la seguridad después de una infracción de seguridad, cambiando el carácter de la selección sin cambiar el propio conjunto mayor de datos del usuario.

De forma similar, si se almacenan en un dispositivo portátil sólo los elementos seleccionados de un conjunto mayor de datos de usuario asociado a una o varias personas autorizadas, la seguridad del sistema podrá ser restaurada, aun cuando el dispositivo sea objeto de robo, facilitando al usuario autorizado otro dispositivo portátil que presente una selección de elementos diferente del conjunto mayor de datos de usuario. A continuación, el aparato que actúa conjuntamente con el dispositivo portátil para proporcionar el control de seguridad puede ser reconfigurado para aceptar sólo la nueva selección del conjunto mayor de datos de usuario. De esta forma, la seguridad puede restaurarse sin necesidad de alterar el conjunto mayor de datos del usuario. Esto resulta importante en relación con gran parte de la información biométrica, puesto que ésta representa características biológicas permanentes de una persona y, por lo tanto, no puede ser cambiada con facilidad.

Además, la selección llevada a cabo en la presente invención requiere menos procesamiento que las funciones de troceo unidireccional más complejas. La complejidad de las funciones de troceo unidireccional impide verificar con facilidad que la secuencia de datos original no pueda ser obtenida a partir de la secuencia de datos acortada, mientras que una simple selección de m elementos de un conjunto de datos de n elementos independientes (siendo n > m) impide
de forma clara el establecimiento de la secuencia de datos original por los criptoanalistas. Es importante destacar que los conjuntos de datos biométricos de usuario obtenidos de un usuario dado pueden variar ligeramente, debido a la variación de la característica biológica del usuario que se está midiendo, o a la variación del propio procedimiento de medición. Puesto que los conjuntos de datos biométricos de usuario que sólo difieren ligeramente pueden llevar a troceos significativamente diferentes de estos conjuntos, la comparación con troceos de conjuntos de datos biométricos aceptables resulta sumamente problemá-
tica.

Preferentemente, el procedimiento comprende la etapa de alteración automática del procedimiento de selección para generar el conjunto de datos del usuario en función del tiempo (por ejemplo, el tiempo de transmisión). Esta característica tiene como consecuencia que, cuando los criptoanalistas reenvían la secuencia de datos parciales que han interceptado previamente, ésta tiene menos probabilidades de infringir el control de seguridad. La función del tiempo de transmisión puede ser dependencia con la hora del día o la fecha, o como alternativa, la selección puede efectuarse según una secuencia pseudoaleatoria que es seguida de forma sincrónica por el dispositivo de adquisición de datos del usuario y el aparato de autenticación.

En algunas formas de realización, el carácter de la selección puede indicarse al dispositivo de adquisición de datos del usuario mediante la transmisión de una señal desde el aparato de autenticación hasta dicho dispositivo. Dicho dispositivo puede permitir una implementación más eficaz de un aparato que lleva a cabo el procedimiento de la presente invención.

Si los datos del usuario que se están codificando representan datos biométricos, la seguridad mejorará, debido a que, por su naturaleza, la biométrica depende, por lo menos en parte, de las características biológicas de los usuarios autorizados y, como tales, no será necesario memorizarlos. Una ventaja particular de los datos de usuario que representan datos biométricos es que los conjuntos de datos que representan datos biométricos suelen presentar un gran número de elementos de datos independientes y, por consiguiente, son particularmente adecuados para utilizar con el procedimiento de la presente invención.

Si el rasgo biométrico elegido es un rasgo biométrico de imagen (por ejemplo, un rasgo biométrico que representa el aspecto de la cara del usuario o la distribución espacial de la luminancia a través del iris), entonces no es necesario que el usuario entre en contacto físico con el dispositivo de adquisición de datos del usuario. Es probable que esto facilite la utilización del dispositivo de adquisición de datos del usuario y agilice el procesamiento de los controles de seguridad.

Una ventaja particular de la utilización del patrón de luminancia de uno de los iris del usuario es que el iris es un identificador más exclusivo que una huella digital, y que es casi imposible de alterar sin suponer un riesgo importante para el impostor potencial.

Además, el conjunto de datos parciales del usuario puede encriptarse antes de la transmisión. Como se ha propuesto anteriormente, la técnica de la presente invención es más sólida que el simple encriptado, puesto que aunque se consiga desencriptar el grupo parcial del usuario, la persona que trata de infringir el control de seguridad no podrá obtener el conjunto de datos completos del usuario.

Según un tercer aspecto de la presente invención, se proporciona un terminal de control de seguridad que comprende un dispositivo de adquisición de datos parciales del usuario que puede utilizarse para: (a) en una tentativa de paso por el control de seguridad por parte del usuario, obtener un conjunto de datos del usuario; y (b) generar un conjunto de datos parciales del usuario a partir del conjunto de datos del usuario, incluyendo la generación algunos de los elementos del conjunto de datos del usuario.

Si se proporciona un terminal que sólo transmita un conjunto de datos parciales del usuario, la seguridad mejorará, ya que los criptoanalistas que puedan escuchar la señal generada por el terminal no podrán obtener el conjunto de datos completos del usuario. De este modo, es posible mejorar la seguridad de una red de comunicaciones que presenta uno o más terminales. Asimismo, el terminal puede disponer de la capacidad de selección sin que esto suponga incrementar su coste ni reducir su velocidad de forma significativa.

Preferentemente, el dispositivo de adquisición de datos parciales del usuario puede utilizarse para capturar un conjunto de datos del usuario, y está conectado directamente a uno o más medios de procesamiento destinados a seleccionar elementos del conjunto de datos del usuario para generar un conjunto de datos parciales del usuario.

Si se proporciona una conexión directa entre el dispositivo de adquisición y los medios de procesamiento, la seguridad de cualquier comunicación del conjunto de datos del usuario aumentará. Por ejemplo, la captura del conjunto de datos del usuario y el procesamiento pueden tener lugar en el mismo circuito integrado.

Para proporcionar un terminal que resulte también útil como terminal de control de seguridad en situaciones en las que no sea esencial un alto nivel de seguridad, el aparato puede comprender además:

un lector para leer un conjunto de datos aceptables almacenado en un dispositivo portátil, comprendiendo dicho dispositivo portátil medios de almacenamiento en los que se almacena un conjunto de datos aceptables generado a partir de algunos elementos de un conjunto de datos asociado a un usuario autorizado;

medios de comparación para comparar dicho conjunto de datos parciales del usuario con dicho conjunto de datos aceptables y

medios de salida de señal de autenticidad destinados a generar una señal que indica si el usuario es una persona autorizada, basándose en la comparación efectuada por dichos medios de compara-
ción.

Dicho aparato puede ser útil como aparato de punto de venta. Por consiguiente, para autorizar una transacción que conlleva la transferencia de, por ejemplo, un importe inferior a cincuenta libras, podría efectuarse una comparación entre el conjunto de datos parciales capturados del usuario y el conjunto de datos aceptables almacenado en el dispositivo portátil (en los sistemas convencionales, este dispositivo consiste normalmente en una tarjeta de crédito que incluye una banda magnética en la que se registran los datos), sin necesidad de establecer ninguna comunicación con un aparato de autenticación.

No obstante, dichos terminales serán más accesibles para las personas no autorizadas que los aparatos de autenticación gestionados centralmente y, por consiguiente, el aparato preferentemente comprende además una entrada para introducir una señal del aparato de autenticación, que indica cómo debe generarse el conjunto de datos parciales del usuario a partir del conjunto de datos del usuario, y una salida para proporcionar el conjunto de datos parciales del usuario generado de esa forma al aparato de autenticación.

Según un cuarto aspecto de la presente invención, se proporciona un aparato de autenticación que comprende:

medios de entrada de conjunto de datos parciales del usuario;

medios de salida de señal de autenticación;

uno o más medios de almacenamiento que tienen uno o más conjuntos de datos almacenados y un código legible por el procesador que puede ejecutarse para verificar si el usuario remoto es una persona autorizada, comprendiendo dicho código:

un código de entrada de conjunto de datos parciales del usuario ejecutable para leer un conjunto de datos parciales del usuario por medio de dichos medios de entrada;

un código de adquisición de conjunto de datos aceptables ejecutable para proporcionar uno o más conjuntos de datos aceptables basándose en uno o más de dichos conjuntos de datos almacenados;

un código de comparación de conjuntos de datos ejecutable para establecer si el conjunto de datos parciales del usuario y el conjunto de datos aceptables son suficientemente similares para verificar si el usuario remoto es una persona autorizada y

un código de generación de señal de autenticación ejecutable para permitir la generación de una señal de autenticación por medio de dichos medios de salida cuando dichos conjuntos de datos son suficientemente similares.

Según un quinto aspecto de la presente invención, se proporciona una red de comunicaciones que comprende:

uno o más aparatos de autenticación según el cuarto aspecto de la presente invención;

uno o más terminales de control de seguridad según el tercer aspecto de la presente invención y

uno o más enlaces de comunicaciones de datos entre dichos aparatos de autenticación y dichos terminales.

A continuación, se describirán unas formas de realización de la presente invención únicamente, a título de ejemplo, haciendo referencia a los dibujos adjuntos, en los que:

la Figura 1 se refiere a una primera forma de realización de la presente invención, e ilustra de forma esquemática el ordenador de un usuario conectado a un servidor de empresa, por medio de un ordenador de encaminamiento intermedio;

la Figura 2 es una representación esquemática de un aparato de captura de imágenes para utilizar en relación con la primera forma de realización;

la Figura 3 es un diagrama esquemático que ilustra una arquitectura de hardware posible para el aparato de captura de imágenes;

la Figura 4 es un diagrama de flujo de una operación de acceso remoto llevada a cabo en el aparato de la Figura 1;

la Figura 5 es un diagrama de flujo que ilustra la etapa de captura y transmisión del código del iris de la Figura 4;

la Figura 6 se refiere a una segunda forma de realización de la presente invención y representa una red de comunicación destinada a ser utilizada por una empresa de servicios financieros;

la Figura 7 representa elementos adicionales que pueden incorporarse en un terminal de punto de venta de la red de comunicación;

la Figura 8 es un diagrama de flujo que representa el funcionamiento de los elementos de la segunda forma de realización de la presente invención cuando se utilizan en relación con una transacción financiera de valor bajo;

la Figura 9 es un diagrama de flujo que representa el funcionamiento de los elementos de la red cuando se utilizan en relación con una transacción financiera de valor alto y

la Figura 10 es un diagrama de flujo que representa otra secuencia de operaciones que pueden emprenderse de forma adicional para incrementar la certeza de la autenticación del usuario.

La Figura 1 representa el ordenador personal (PC) 10 de un usuario que, además de dispositivos de entrada/salida normales e interfaces asociadas, presenta un receptor 22 y un transmisor de infrarrojos 23 y una tarjeta de interfaz de señal infrarroja (no representada). Estos componentes adicionales permiten la transmisión de datos entre el PC del usuario 10 y un aparato de captura de imágenes 12.

El PC del usuario 10 está conectado por medio de un módem 14 y una línea de telecomunicaciones 16 a un ordenador de encaminamiento intermedio 18, que encamina las señales desde el PC del usuario 10 hasta un servidor 20. El servidor 20 puede, por ejemplo, pertenecer a una gran empresa y presentar medios de almacenamiento que contienen archivos de gran valor para la empresa. No obstante, cuando el usuario del PC 10 es un empleado de dicha empresa, entonces la provisión de un enlace de comunicaciones entre el PC 10 y el servidor 20 brinda la posibilidad de permitir que el empleado trabaje desde casa.

La transferencia de datos entre el aparato de captura de imágenes 12 y el PC del usuario 10 no incluye ni el encriptado ni el procedimiento de la presente invención, puesto que ese enlace se considera relativamente seguro en comparación con la línea de telecomunicaciones 16. De interés particular es el ordenador de encaminamiento 18 que puede ejecutar programas denominados "husmeadores" para registrar las contraseñas o similares cuando son transmitidas al servidor 20.

En mayor detalle, el aparato de captura de imágenes (12 y Figura 2) está contenido dentro de una estructura protectora adecuada 126. El usuario coloca su cara de tal forma que uno de sus ojos 110 quede ajustado contra una copa ocular 115 situada en una ventana trasera 120 de la estructura protectora 126. La copa ocular actúa como medio para reducir al mínimo la cantidad de luz ambiental que entra en el aparato y como medio para alinear el ojo del usuario con la ventana.

La copa ocular 115 está adherida a un cilindro 130 formado en la estructura protectora 126 que proporciona una separación fija entre el ojo 110 y la cámara de dispositivo de acoplamiento de cargas (CCD) de foco fijo 135. El cilindro 130 proporciona una línea visual para el usuario, desde la ventana trasera 120 hasta una ventana frontal 140, a través de la estructura
protectora 126.

La trayectoria óptica entre el ojo 110 y la cámara 135 subtiende un ángulo de 90º, debido a un espejo parcialmente reflectante 145 que forma un ángulo de 45º con la línea visual a través del cilindro 130.

Se dispone una fuente de iluminación infrarroja (IR) 150 entre el espejo 145 y el ojo 110 para iluminar el ojo. La fuente presenta una pantalla asociada 155 para impedir que la luz IR se desplace directamente desde la fuente 150 hasta la cámara 135, por medio del espejo 145.

Asimismo, se dispone un transmisor 160 y un receptor IR 162 en la parte frontal de la estructura protectora 126, en línea con la línea visual a través del cilindro 130, y la estructura protectora incluye un botón de accionamiento 165 para que el usuario controle en qué momento se captura la imagen de su
iris.

La parte frontal del cilindro 130 incluye un filtro IR 170 para reducir al mínimo la cantidad de radiación IR espúrea que entra en el aparato. La cámara CCD 135 está protegida contra la luz visible espúrea mediante un filtro de luz visible 175, situado entre la cámara y el cilindro. La cámara CCD es una cámara en blanco y negro estándar que también es sensible a la radiación óptica IR.

El aparato incluye además circuitos electrónicos adecuados 180 contenidos en la estructura protectora (descritos en mayor detalle en relación con la Figura 3).

En el cilindro, se halla un indicador óptico 185 que comprende un diodo emisor de luz (LED) rojo y un LED verde que están situados en el campo visual del usuario.

El espejo parcialmente reflector 145 comprende una pantalla de vidrio con un revestimiento superficial que refleja la radiación óptica IR y NIR (infrarrojo cercano) y transmite la luz visible. Las pantallas de este tipo se denominan a veces filtros reflectores de calor o "espejos calientes". Una de las ventajas de este tipo de espejo es que, por lo menos hasta cierta medida, también actúa como filtro para la radiación IR que llega hasta el ojo y para la luz visible que llega hasta la cámara.

El tamaño global del aparato depende principalmente del tamaño de la abertura para el ojo 120 y del nivel de comodidad y facilidad de uso deseado por el usuario del aparato. El hardware para el aparato se ha diseñado como un único circuito ASIC (circuito integrado para aplicación específica), el tamaño del cual no es un factor limitativo para el tamaño del aparato. Asimismo, las cámaras CCD conocidas pueden presentar dimensiones del orden de los milímetros, no constituyendo esto tampoco ningún factor restrictivo para el tamaño del aparato.

La Figura 3 representa una posible disposición de arquitectura de hardware para los circuitos 180. Como se ha indicado anteriormente, el hardware de procesamiento se diseña preferentemente como un solo circuito ASIC. El aparato es controlado por un procesador 200 que ejecuta el software contenido en la memoria de sólo lectura (ROM) 205. El software de la ROM 205 puede ejecutarse para actuar sobre los datos de imagen obtenidos de la cámara CCD 135, mediante el algoritmo descrito en la patente U.S. nº 5.291.569, generándose de ese modo un código del iris de 256 bytes. El procesador 200 está conectado por medio de un bus 210 a la ROM 205, un bloque de memoria de acceso aleatorio (RAM) 215 y un controlador de entrada/salida (I/O) 220. La RAM es suficientemente grande como para contener por lo menos una imagen capturada de un ojo. El controlador I/O 220 está conectado mediante circuitos y controladores adecuados (no ilustrados) al transmisor 160 y al receptor IR 162, la cámara CCD 135, el botón de accionamiento 165, la fuente de iluminación IR 150 y el indicador óptico 185. El aparato en su conjunto es alimentado por una batería adecuada (no ilus-
trada).

El procesador 200 es sensible a las señales recibidas desde el botón de accionamiento 165, el receptor IR 162 y la cámara CCD 135. Asimismo, el procesador controla el transmisor IR 160, la fuente de iluminación IR, el funcionamiento de la cámara CCD y el indicador óptico 185.

El receptor 22 y el transmisor infrarrojo 23 están montados en el exterior del PC del usuario 10 y están conectados a la tarjeta de interfaz de señal infrarroja (no ilustrada) por medio de un cable conectado a una de las puertas de salida del PC. Los otros dispositivos, es decir, el módem 14, la línea de transmisión 16, el ordenador de encaminamiento 18 y el servidor 20, son de tipo estándar. El PC del usuario 10 y el servidor 20 almacenan programas de software que pueden ser ejecutados por el PC y el servidor, respectivamente, para llevar a cabo las etapas de procesamiento adecuadas descritas más adelante en relación con la Figura 4. Los expertos en programación podrán generar con facilidad el código adecuado para llevar a cabo dichas etapas de procesamiento.

Haciendo referencia a la Figura 4, cuando el usuario formula la petición de conectarse con el servidor por medio de su PC 10, el PC 10 es controlado para generar, por medio del módem, una señal en la que se solicita el acceso al servidor 20 (etapa 30). Una vez recibida la petición, el servidor 20 responde con una petición para que el PC transmita un código de iris parcial al servidor 20. El código de iris parcial solicitado es indicado por el servidor, que transmite un número N (nº N) entre uno y ocho con la petición (etapa 32).

En la etapa 34, tras la recepción por el PC de la respuesta del servidor 20, se presenta un mensaje en la pantalla del PC que solicita al usuario que active el aparato de captura de imagen para que el PC 10 pueda obtener el código del iris. En la etapa 36 (descrita en mayor detalle más adelante en relación con la Figura 5), el código del iris se transmite desde el aparato de captura de imágenes 12 hasta el PC 10.

A continuación, se ejecuta un programa almacenado en la RAM del PC 10 para generar, a partir del código de iris transmitido, el código de iris parcial que ha sido solicitado por el servidor 20. El programa selecciona con eficacia el N-ésimo bit de cada byte del código del iris de 256 bytes y proporciona un código de iris parcial de 32 bytes. Por ejemplo, si el servidor 20 solicita el código de iris parcial nº 1 en la etapa 32, el PC selecciona el primer bit de cada byte del código de iris obtenido del usuario, siendo el orden de los bits del código de iris igual al orden de los bytes del código de iris completo a partir del cual se obtienen. Una vez que se ha generado el código de iris parcial, se lleva a cabo el encriptado de éste (etapa 39) y, a continuación, su transmisión por medio del módem 14 y el ordenador de encaminamiento 18 hasta el servidor 20 (etapa 40).

El código de iris parcial encriptado, al ser recibido, se desencripta (etapa 41) y, en la etapa 42, el servidor 20 ejecuta un programa destinado a comparar el código de iris parcial recibido desde el PC 10 con los códigos aceptables almacenados, que se han obtenido previamente de los códigos de iris de los usuarios autorizados de una forma similar a la del código de iris parcial del usuario obtenido a partir del código de iris del usuario (es decir, se selecciona el mismo bit N-ésimo de cada byte del código de iris completo). El programa genera una decisión de acceso (etapa 44) que indica si el código de iris parcial transmitido es suficientemente similar a uno de los códigos aceptables almacenados y generados de forma similar, para garantizar el acceso al servidor 20. Si los dos códigos no son suficientemente similares, se envía una señal que representa la decisión hasta el PC 10, a través de la red, para indicar que el acceso al servidor ha sido denegado. El PC presenta el correspondiente mensaje (etapa 48). Si los dos códigos son suficientemente similares, se permite el control del servidor 20 por el PC 10.

Los expertos en la materia apreciarán cómo adaptar la presente invención para solicitar el nombre del usuario, así como el código de iris parcial del usuario. Esto permitirá agilizar la operación de acceso remoto, puesto que el servidor sólo necesitará efectuar una comparación con uno de los códigos de iris almacenados en la base de datos.

A continuación, se describirá en mayor detalle y en relación con la Figura 5 la generación del código de iris parcial seleccionado a partir del código de iris completo capturado en la etapa 38.

El diagrama de flujo de la Figura 5 ilustra un procedimiento posible para la captura y la transmisión de códigos de iris completos desde el aparato de captura de imágenes 12 hasta el PC del usuario 10.

En la etapa 300, el aparato de captura de imágenes se halla en un estado en el que, en la pantalla conectada al PC 10, se solicita al usuario que entre el código de iris y se permanece a la espera de que éste pulse la tecla de accionamiento para iniciar el procedimiento. En primer lugar, el usuario se coloca de tal forma que uno de sus ojos quede ajustado contra la copa ocular 115, y alinea el aparato de captura de imágenes 12, orientándolo de tal forma que pueda ver el receptor 22 montado en el exterior del PC 10 mirando hacia el interior de la estructura protectora 126. A continuación, una vez que el usuario ha pulsado el botón de accionamiento 165, se genera una señal que es recibida por el procesador. Entonces, el procesador controla el transmisor IR para enviar una señal, en la etapa 305, al PC del usuario 10 para iniciar las comunicaciones. En respuesta a ésta, el PC del usuario 10 envía un mensaje de retorno al aparato de captura de imágenes 12.

Si el aparato de captura de imágenes 12 no ha recibido el mensaje de retorno en la etapa 315 (debido, por ejemplo, a que el PC del usuario 10 no ha recibido la primera señal), el LED rojo del indicador óptico 185 se enciende (etapa 320) para indicar el fallo e indicar al usuario que debe volver a iniciar el procedimiento pulsando otra vez el botón de accionamiento.

Cuando el aparato de captura de imágenes 12 recibe el mensaje de retorno, los medios de procesamiento indican a la cámara CCD 135 que debe capturarse una imagen, en la etapa 325. La imagen que se captura se almacena en la RAM 215. En la etapa 330, el procesador 200 determina si la imagen almacenada es adecuada para la codificación. Si la imagen no es adecuada, entonces el procesador 200 indica a la cámara 135 que debe capturar una nueva imagen.

La etapa de captura de imágenes incluye el control de la fuente de iluminación 150. La fuente de iluminación 150 está conectada a un bucle de control, por medio del cual el procesador 200 puede variar la intensidad de la luz de la fuente 150 dependiendo, por ejemplo, del color del iris del usuario (un iris azul claro refleja mucha más luz y necesita menos iluminación que un iris marrón oscuro). El procesador 200 puede solicitar varias imágenes capturadas en secuencia, a modo de secuencia de vídeo, y entonces el procesador 200 puede ejecutar cierto tipo de software para determinar la iluminación óptima para el ojo y obtener una imagen adecuada.

La captura de varias imágenes también permite superar problemas, tales como, el parpadeo del usuario en el momento en que se captura una imagen. Pueden utilizarse técnicas de procesamiento de señales digitales conocidas para establecer qué imagen es la mejor y rechazar las imágenes no adecuadas.

Cuando se obtiene una imagen adecuada, se recuperan los datos de la imagen de la RAM 215 y éstos se procesan para generar un código del iris en la etapa 335, mediante el algoritmo de generación de códigos de iris almacenado en la ROM (etapa 315). El código del iris de 256 bytes resultante se almacena en la RAM 215 y, a continuación, el transmisor IR 160 lo transmite al PC del usuario 10 en la etapa 345.

Si el PC del usuario 10 recibe los datos de forma satisfactoria, el transmisor 23 transmite una señal que indica la recepción correcta al aparato de captura de imágenes 12 (etapa 350). En respuesta a ésta, el procesador 200 enciende el LED verde del indicador óptico 185 para indicar al usuario que el procedimiento ha resultado satisfactorio, en la etapa 360. Si la transmisión de los datos falla repetidas veces (por ejemplo, tras cinco intentos), el LED rojo del indicador óptico se enciende (etapa 355) y, entonces, el usuario debe reiniciar el procedimiento completo.

Se observará cómo, transmitiendo sólo una octava parte seleccionada del código del iris del usuario, las posibilidades de que los criptoanalistas puedan acceder al servidor 20 sin autorización se reducen en gran medida.

En la Figura 6, se ilustra otra forma de realización de la presente invención, en concreto, un aparato de autorización de transacciones financieras. El aparato comprende una red de comunicaciones privada 50 construida según la regla X25 y conectada, por medio de un enlace de modo de transferencia asíncrona (ATM) 52, a una estación de trabajo UNIX 54 que presenta un disco duro 56 con una gran capacidad de memoria. El disco duro 56 almacena los códigos de iris de todos los clientes autorizados de la empresa de servicios financieros, a cada uno de los cuales se le ha facilitado inicialmente una tarjeta de plástico que contiene una banda magnética en la que se ha registrado un código de iris parcial encriptado. Este código de iris parcial comprende en un principio el primer bit de cada byte del código de iris almacenado. Si se emite una segunda tarjeta (debido a la expiración o el robo de la primera), en ésta se codificará cada segundo bit del código del iris y, si se emite una tercera tarjeta, en ésta se codificará cada tercer bit, y así sucesivamente. En la tarjeta magnética, también se codifica el número de cuenta del usuario y el carácter de la selección del código completo del iris.

La red de datos privada 50 también está conectada a una pluralidad de aparatos de punto de venta 58 instalados en establecimientos de venta al detall. Estos dispositivos de punto de venta incluyen características convencionales, tales como una pantalla de cristal líquido (LCD), un teclado para introducir, entre otras cosas, el valor de la transacción, una impresora para imprimir volantes de autorización y un lector de tarjetas para leer los datos de la banda magnética de una tarjeta de usuario. Cada terminal 58 posee también una salida para transferir datos a la red 50.

Los dispositivos de punto de venta 58 de la presente forma de realización comprenden varios componentes adicionales. La Figura 7 ilustra estos componentes adicionales y cómo pueden conectarse por medio de un bus de datos 60 instalado en el dispositivo de punto de venta 58. La transferencia de más de dos bytes de datos se ilustra mediante flechas gruesas, mientras que la transferencia de menos de dos bytes de datos se ilustra mediante flechas delgadas. El bus de datos 60 está conectado, por medio de un módulo de encriptado/desencriptado 63 a una interfaz de red 62 que permite la transferencia de señales a través de la red X25 50.

Como se ha mencionado anteriormente, las bandas magnéticas de las tarjetas facilitadas a los usuarios autorizados del aparato tienen almacenados un código de iris parcial de 32 bytes y los correspondientes números de cuenta. El dispositivo de punto de venta comprende un lector de tarjetas 64 que está destinado a leer los datos de la tarjeta y pasarlos al bus de datos, donde pueden ser desencriptados por el módulo de encriptado/desencriptado 63. Los componentes adicionales comprenden también una cámara de dispositivo de acoplamiento de cargas (CCD) 66 que presenta un mecanismo de autoenfoque que está destinado a capturar digitalmente una imagen del usuario y pasarla al bus de datos 60. Si se desea, es posible invalidar el mecanismo de autoenfoque enviando una señal a la unidad de control de distancia focal 68 incluida dentro de la cámara 66. La señal de control de distancia focal puede transmitirse por medio del bus de datos 60. Se dispone de un circuito integrado para aplicación específica (ASIC) 70 que contiene hardware destinado a introducir la imagen digital capturada por la cámara 66, reconocer el iris derecho del usuario en la imagen y, finalmente, generar un código del iris de 256 bytes (utilizando también un procedimiento similar al dado a conocer en la patente U.S. nº 5.291.560) e introducir el código de iris resultante en uno de los dos módulos de generación de código de iris parcial 72, 74. El primero de estos módulos 72 está destinado a introducir un valor binario de tres bits del bus de datos 60 y proporcionar, al bus de datos 60, un código de iris parcial de 32 bytes, generado de forma similar al código de iris parcial generado en relación con la primera forma de realización, que presenta los bits seleccionados según el valor de tres bits. El segundo módulo 74 está destinado a introducir un valor de trece bits del bus de datos 60 y a proporcionar un código parcial del iris de 160 bytes al bus de datos 60. El dispositivo 58 comprende además una unidad RAM 76 para almacenar datos de imagen digitales, códigos de iris parciales y códigos aceptables transmitidos a través de la red y obtenidos mediante el lector de tarjetas 64. Por último, el aparato presenta una unidad de comparación 78 que está destinada a introducir conjuntos de datos aceptables del lector de tarjetas 64, transmitidos por medio del bus de datos 60, y códigos de iris parciales, transmitidos por medio del bus de datos 60 del circuito ASIC 70.

Cuando se efectúa una transacción financiera de valor bajo (Figura 8), el usuario entrega su tarjeta al dependiente, que desliza a continuación la tarjeta por el lector del dispositivo terminal 58. El lector 64 pasa el conjunto de datos aceptables encriptados almacenado en la tarjeta al bus de datos 60 (etapa 80). A continuación, los datos son desencriptados por el módulo de desencriptado 63 (etapa 81) y almacenados en la RAM 76. Seguidamente, el dependiente teclea el valor de la transacción, que también se almacena en la RAM 76. Por último, el aparato se comunica con el servidor 54, por medio de la red 50, para establecer si el usuario tiene suficiente crédito para financiar la transacción. (Las etapas relacionadas son similares a las llevadas a cabo en los aparatos convencionales y no se ilustran.) Siempre que el usuario disponga de crédito suficiente, la cámara 66 será controlada para capturar una imagen del iris del usuario (etapa 82). Los datos digitales que representan dicha imagen se introducen entonces en el bus de datos 60 y en el circuito ASIC 70. El circuito ASIC 70 genera un código del iris de 256 bytes y lo pasa al módulo 72, que genera el código de iris parcial indicado por el número de emisión de la tarjeta, siendo obtenido dicho número a partir de la RAM 76 (etapa 84).

El código de iris parcial generado de esta forma se pasa, a continuación, al bus de datos y a la unidad de comparación 78, donde se compara con el conjunto de datos aceptables obtenido del lector de tarjetas 64 instalado en la RAM (etapa 85). Si el código de iris parcial es suficientemente similar al conjunto de datos aceptables, entonces la transacción de valor bajo se aprueba, y el dependiente puede completar la transacción. Si los dos conjuntos de datos no son suficientemente similares, la transacción es denegada (etapa 87).

Se observará que, en la anterior descripción, el procedimiento de verificación del código del iris sustituye a la técnica actual de autenticación de usuarios, es decir, la comparación de firmas. Sin embargo, la seguridad de la transacción puede incrementarse, emprendiendo las etapas de la Figura 9 en lugar de las etapas de la Figura 8.

En el procedimiento ilustrado en la Figura 9, el código de iris parcial (en este caso designado por nº X), se obtiene seleccionado cinco bits de cada grupo de ocho bits de cada byte del código del iris de 256 bytes. Se observará que la selección puede efectuarse de 56 modos diferentes, y que los cinco bits seleccionados pueden ordenarse de 120 modos diferentes, obteniéndose como resultado 6720 modos posibles de generar un código de iris parcial. Por consiguiente, el valor que indica la selección es un valor binario de trece bits que representa un número entre 1 y 6720 seleccionado de forma pseudoaleatoria por el servidor 54. Este valor de trece bits es transmitido a través de la red por el servidor en la etapa 89 y, una vez ha llegado al dispositivo de punto de venta, es almacenado en la RAM 76.

Para iniciar el procedimiento de transacción, el dependiente desliza la tarjeta del usuario por el lector de tarjetas 64 que obtiene los datos relativos al número de cuenta del usuario a través de la banda magnética
de la tarjeta. El número de cuenta se almacena a continuación en la RAM 76. Entonces, el dependiente teclea el valor de la transacción mediante el teclado. Ambos elementos de información son enviados (etapa 88) de una forma conocida al servidor 54 que responde enviando una señal que indica que hay suficiente crédito disponible para la transacción, o bien transmitiendo una señal de trece bits que indica el modo en que puede generarse el código de iris parcial nº X (etapa 89). Una vez que el valor binario de trece bits ha sido recibido por el dispositivo de punto de venta, éste se almacena en la RAM 76 y la cámara 66 se controla para que capture una imagen del iris del usuario (etapa 90). Los datos que representan la imagen digital se transfieren a continuación al ASIC de generación de códigos del iris 70, donde se procesan los datos digitales de entrada para generar un código del iris de 256 bytes (etapa 91). El código del iris se introduce entonces en el módulo de códigos de iris parciales 74 que también recibe el valor de trece bits desde la RAM 76. El módulo actúa sobre código del iris, de acuerdo con el valor de trece bits, para generar el código de iris solicitado (etapa 92). Los expertos en la materia podrán diseñar el hardware del circuito ASIC para que éste efectúe la operación necesaria. A continuación, el código de iris parcial solicitado se envía por medio del bus de datos 60 al módulo de encriptado/desencriptado 63, donde se encripta (etapa 93) y posteriormente se transmite a través de la interfaz de red 62 de nuevo hasta el servidor 54 (etapa 94).

Mientras tanto, el software del servidor 54 se ejecuta para que el ordenador halle un conjunto de datos aceptable para el titular de la cuenta, tomando el código del iris de 256 bytes registrado y almacenado como parte de la base de datos grabada en el disco duro (Figura 6, 56) para dicho usuario, y llevando a cabo operaciones (etapa 95) con el código del iris registrado similares a las llevadas a cabo en el dispositivo de punto de venta 58 con el código de iris capturado. Los expertos en la materia observarán que, en su lugar, esta operación puede ser llevada a cabo utilizando hardware similar al módulo 74 contenido dentro del circuito ASIC 70 del dispositivo de punto de venta.

A continuación, el servidor 54 desencripta el código de iris parcial encriptado transmitido desde el dispositivo de punto de venta (etapa 96) y lleva a cabo la comparación del código de iris parcial transmitido con el código aceptable que acaba de calcular (etapa 97). El servidor 54 transmite una señal que indica el resultado de la comparación (etapa 98). Si los dos códigos son suficientemente similares, el servidor transmite una señal que representa la aprobación de la transacción al dispositivo de punto de venta (etapa 99), y se permite que la transacción continúe. Sin embargo, si el ordenador transmite una señal que representa la denegación de la transacción, el dispositivo de punto de venta 58 presenta una denegación de la transacción en la etapa 100.

En el procedimiento anterior, el valor de trece bits es generado por el servidor 54 de forma pseudoaleatoria. No obstante, es posible diseñar otras disposiciones en las que el valor depende de la hora de la petición. Por ejemplo, el aparato de punto de venta 58 puede enviar adicionalmente en la etapa 88 una indicación de la hora y la fecha de la petición al servidor. Tanto el servidor como el dispositivo de punto de venta pueden seguir de forma sincrónica una secuencia de números entre 1 y 6720, cada una de las cuales genera
un código de iris parcial según el número válido a la hora de la petición. Esta secuencia puede consistir simplemente en aplicar al número un aumento unitario cada cinco minutos o puede ser una secuencia pseudoaleatoria seguida de forma sincrónica por el servidor 54 y el dispositivo de punto de venta 58. Los expertos en la materia concebirán muchas otras posibilidades.

El procedimiento ilustrado en la Figura 9 puede modificarse omitiendo la comparación llevada a cabo por el servidor 54 (etapas 95 a 98) y transmitiendo, en su lugar, el código aceptable generado por el servidor al dispositivo de punto de venta 58, siendo entonces llevada a cabo la comparación en la unidad de comparación 78.

Para añadir un mayor grado de seguridad a la transacción, pueden emprenderse las etapas adicionales representadas en la Figura 10. Estas etapas pueden, por ejemplo, llevarse a cabo en lugar de la etapa 86 representada en la Figura 8 o después de la aprobación de la transacción en la etapa 99 de la Figura 9.

Una vez que se ha establecido, mediante los procedimientos descritos en relación con las Figuras 8 y 9, que el usuario es auténtico hasta un primer nivel de certeza, la seguridad puede aumentarse todavía más haciendo que el servidor transmita una petición para que el dispositivo de punto de venta proporcione el código de iris parcial nº X que se genera a partir de una imagen cuando la distancia focal del sistema óptico de la cámara 66 es establecida por la unidad de control de distancia focal 68 en lugar de ser establecida automáticamente. En tal caso, en la etapa 101, el servidor 54 envía una señal al dispositivo de punto de venta 58, a través de la red, que incluye una señal que indica la distancia focal deseada, junto con la señal
que indica cuál de los códigos de iris parciales se desea. En el presente ejemplo, la señal indica que la distancia focal debe incrementarse hasta que sea 1,2 veces el valor calculado por el mecanismo de autoenfoque.

Estos valores son introducidos por el aparato de punto de venta 58, siendo almacenado el número de código de iris parcial en la RAM 76 y siendo transmitido el código de distancia focal a la unidad de control de distancia focal 68. La unidad de control de distancia focal puede utilizarse a continuación para ajustar el sistema óptico de la cámara según la nueva distancia focal (etapa 102), obteniéndose a continuación la imagen del iris del usuario. Entonces, se lleva a cabo la generación, el encriptado y la transmisión (etapa 103) del código de iris parcial particular, de la forma descrita anteriormente en relación con las etapas 82 a 84 de la Figura 8. Mientras tanto, el servidor 54 halla (etapa 104) un conjunto de datos aceptables de la forma descrita anteriormente en relación con la etapa 95 de la Figura 9.

A continuación, el servidor ejecuta un algoritmo (etapa 105) para comparar los códigos parciales de iris generados, y establece si el código parcial de iris transmitido contiene menos información de frecuencia espacial alta que el conjunto de datos aceptables. De ser así, esto puede interpretarse como una indicación de la seguridad de extremo a extremo de la red y, entonces, se genera una señal que representa la aprobación de la transacción en la etapa 107. Por el contrario, si no se observa la pérdida esperada de información espacial alta, entonces se genera una señal que representa la denegación de la transacción, en la etapa 106.

Claims

1. Procedimiento para proporcionar un control automático de seguridad mediante un dispositivo de adquisición de datos de usuario (12) para obtener, cuando el usuario trata de pasar el control de seguridad, un conjunto de datos del usuario para determinar si dicho usuario es una persona autorizada para pasar dicho control de seguridad, estando caracterizado dicho procedimiento por:

la obtención de un conjunto de datos parciales del usuario a partir del conjunto de datos del usuario, implicando dicha generación la selección de elementos del conjunto de datos del usuario, variando dicha selección entre las tentativas de paso por el control de seguridad

la transmisión de dicho conjunto de datos parciales, a través de un enlace de comunicaciones (16), a un aparato de autenticación (20) destinado a proporcionar uno o más conjuntos de datos aceptables; y

la utilización de dicho aparato de autenticación (20) para comparar dicho conjunto de datos parciales del usuario con por lo menos uno de dicho o dichos conjuntos de datos aceptables.

2. Procedimiento según la reivindicación 1, que comprende además la etapa de alteración automática del procedimiento de selección que va a utilizarse, para obtener dicho conjunto de datos parciales del usuario en función del tiempo.

3. Procedimiento según la reivindicación 1, que comprende además la etapa de utilización de dicho aparato de autenticación para transmitir una señal de interrogación a dicho dispositivo de formación (12), que indica qué elementos deben seleccionarse de entre el conjunto de datos del usuario para obtener el conjunto de datos parciales del usuario.

4. Procedimiento según la reivindicación 2 ó 3, en el que dicho aparato de autenticación (20) almacena uno o más conjuntos de datos registrados, y dicha provisión de conjuntos de datos aceptables incluye la selección de elementos de dicho conjunto de datos registrados para obtener un conjunto de datos aceptables, mediante un procedimiento de selección similar al utilizado para obtener el conjunto de datos parciales del usuario a partir del conjunto de datos del usuario.

5. Procedimiento según cualquiera de las reivindicaciones anteriores, en el que dicho conjunto de datos del usuario comprende un conjunto de datos biométricos del usuario que representan un solo rasgo biométrico capturado por un dispositivo de captura de rasgos biométricos del usuario (12), dicho conjunto de datos parciales del usuario comprende un conjunto de datos biométricos parcial del usuario, dicho conjunto de datos registrados comprende un conjunto de datos biométricos registrados que representa un solo rasgo biométrico y dicho conjunto de datos aceptables comprende un conjunto de datos biométricos parciales aceptables.

6. Procedimiento según la reivindicación 5, en el que dicho conjunto de datos biométricos del usuario que representa un rasgo biométrico representa datos biométricos de imagen y dicho dispositivo de captura de rasgos biométricos comprende un dispositivo de formación de imágenes.

7. Procedimiento según la reivindicación 6, en el que dicho dispositivo de formación de imágenes (12) presenta parámetros controlables externamente, y dicho procedimiento comprende además la etapa de
utilización de dicho aparato de autenticación para transmitir una señal de interrogación a dicho dispositivo de formación de imágenes, que indica uno o más de dichos parámetros ópticos.

8. Procedimiento según la reivindicación 7, en el que dichos parámetros ópticos controlables externamente comprenden la distancia focal del dispositivo de formación de imágenes (12), y la señal de interrogación indica la distancia focal.

9. Procedimiento según cualquiera de las reivindicaciones 5 a 8, en el que dicho conjunto de datos biométricos del usuario que representa un rasgo biométrico representa un patrón de luminancia de uno de los iris del usuario.

10. Procedimiento según cualquiera de las reivindicaciones anteriores, que comprende además la etapa de encriptado de dicho conjunto de datos parciales del usuario antes de su transmisión.

11. Terminal de control de seguridad (10, 12, 14; 58) que comprende:

un dispositivo de adquisición de datos parciales del usuario (10, 12; 66; 70) que puede utilizarse para:

(a) obtener, en una tentativa de paso por el control de seguridad (10, 12, 14: 58) por parte del usuario, un conjunto de datos del usuario, y

(b) obtener un conjunto de datos parciales del usuario a partir del conjunto de datos del usuario, implicando dicha obtención la selección de elementos del conjunto de datos del usuario,

un lector (64) para leer un conjunto de datos aceptables almacenado en un dispositivo portátil que se utiliza para permitir a una persona autorizada el paso por un control de seguridad, comprendiendo dicho conjunto de datos aceptables elementos seleccionados de entre un conjunto de datos de usuario autorizado asociado a dicho usuario autorizado, sin codificar ninguno de los elementos restantes de dicho conjunto de datos del usuario;

medios de comparación (78) para comparar dicho conjunto de datos parciales del usuario con dicho conjunto de datos aceptables; y

medios de salida de señal de autenticidad destinados a generar una señal que indica si el usuario es una persona autorizada, basándose en la comparación efectuada por dichos medios de comparación.

12. Terminal (10, 12, 14: 58) según la reivindicación 11, en el que dicho dispositivo de adquisición de datos parciales del usuario (10, 12: 66, 70) comprende:

un dispositivo de adquisición de datos del usuario (12: 66) y

uno o más medios de procesamiento (10, 70);

en el que dicho dispositivo de adquisición de datos del usuario (12, 66) puede utilizarse para capturar un conjunto de datos del usuario, y está directamente conectado a dicho o dichos medios de procesamiento (10, 70) que están destinados a seleccionar elementos de dicho conjunto de datos del usuario con el fin de obtener un conjunto de datos parciales del usua-
rio.

13. Terminal (10, 12, 14: 58) según la reivindicación 12, en el que:

dicho dispositivo de adquisición de datos del usuario (12, 66) comprende un dispositivo de adquisición de datos biométricos del usuario, dicho conjunto de datos del usuario comprende un conjunto de datos biométricos del usuario que representa un solo rasgo biométrico, dicho conjunto de datos parciales del usuario comprende un conjunto de datos biométricos parciales del usuario y dicho conjunto de datos aceptables comprende un conjunto de datos biométricos parciales aceptables.

14. Dispositivo portátil para utilizar conjuntamente con el terminal de control de seguridad según cualquiera de las reivindicaciones 11 a 13.

15. Aparato de autenticación (20) que comprende:

medios de salida de señal de autenticación;

uno o más medios de almacenamiento que contienen uno o más conjuntos de datos biométricos autorizados que representan un rasgo biométrico, y un código legible por el procesador y ejecutable para verificar que el usuario remoto sea una persona autorizada, comprendiendo dicho código un código de generación de señal de autenticación destinado a generar una señal de autenticación, por medio de dichos medios de salida, cuando dichos conjuntos de datos son suficientemente similares;

caracterizado porque dicho aparato de autenticación comprende además medios de entrada de conjunto de datos biométricos parciales del usuario, y porque dicho código comprende además:

(i) un código de entrada de conjunto de datos biométricos parciales del usuario ejecutable para leer un conjunto de datos biométricos parciales del usuario por medio de dichos medios de entrada;

(ii) un código de adquisición de conjunto de datos biométricos parciales autorizados ejecutable para proporcionar uno o más conjuntos de datos biométricos parciales autorizados, basándose en uno o más de dichos conjuntos de datos biométricos autorizados que representan un solo rasgo biométrico;

(iii) un código de comparación de conjuntos de datos ejecutable para establecer si el conjunto de datos biométricos parciales del usuario y el conjunto de
datos biométricos parciales autorizados son suficientemente similares para verificar que el usuario remoto sea una persona autorizada.

16. Red de comunicaciones que comprende:

uno o más aparatos de autenticación (20) según la reivindicación 15;

uno o más terminales de control de seguridad (10, 12, 14: 58) según la reivindicación 11, 12 ó 13, y

uno o más enlaces de comunicaciones de datos (16: 50, 52) entre dichos aparatos de autenticación y terminales.

17. Procedimiento para proporcionar un control automático de seguridad, comprendiendo dicho procedimiento las etapas siguientes:

utilización de un dispositivo de adquisición de datos de usuario (66) para obtener, cuando el usuario intenta pasar el control de seguridad, un conjunto de datos del usuario; estando caracterizado dicho procedimiento por:

la utilización adicional de dicho dispositivo de adquisición de datos del usuario para obtener un conjunto de datos parciales del usuario a partir del conjunto de datos del usuario, implicando dicha obtención la selección de elementos del conjunto de datos del usuario;

la utilización de dicho aparato de autenticación (76, 78) para comparar dicho conjunto de datos parciales del usuario con un conjunto de datos parciales aceptables almacenado y determinar si dicho usuario es una persona autorizada para pasar dicho control de seguridad, sin almacenar el resto del conjunto de datos aceptables a partir del cual se ha obtenido dicho conjunto de datos parciales aceptables.

18. Procedimiento según la reivindicación 5, en el que dichos datos biométricos del usuario se refieren a un solo tipo de rasgo biométrico.