JP2010505286A - バイオメトリック証明書確認フレームワーク - Google Patents
バイオメトリック証明書確認フレームワーク Download PDFInfo
- Publication number
- JP2010505286A JP2010505286A JP2009518201A JP2009518201A JP2010505286A JP 2010505286 A JP2010505286 A JP 2010505286A JP 2009518201 A JP2009518201 A JP 2009518201A JP 2009518201 A JP2009518201 A JP 2009518201A JP 2010505286 A JP2010505286 A JP 2010505286A
- Authority
- JP
- Japan
- Prior art keywords
- biometric
- user
- data
- client
- client computer
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
- G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
- G06F21/33—User authentication using certificates
- G06F21/335—User authentication using certificates for accessing specific resources, e.g. using Kerberos tickets
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q20/00—Payment architectures, schemes or protocols
- G06Q20/38—Payment protocols; Details thereof
- G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
- G06Q20/401—Transaction verification
- G06Q20/4014—Identity check for transactions
- G06Q20/40145—Biometric identity checks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
- H04L63/126—Applying verification of the received information the source of the received data
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
- H04L63/067—Network architectures or network communication protocols for network security for supporting key management in a packet data network using one-time keys
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- General Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- Theoretical Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computing Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Business, Economics & Management (AREA)
- Software Systems (AREA)
- Accounting & Taxation (AREA)
- General Health & Medical Sciences (AREA)
- Biomedical Technology (AREA)
- Health & Medical Sciences (AREA)
- Finance (AREA)
- Strategic Management (AREA)
- General Business, Economics & Management (AREA)
- Storage Device Security (AREA)
- Collating Specific Patterns (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
- Measurement Of The Respiration, Hearing Ability, Form, And Blood Characteristics Of Living Organisms (AREA)
Abstract
後に認証システムにアクセスするためのクライアントコンピュータ・システムにおけるバイオメトリック認証システムの使用は、デジタル処理で署名されたバイオメトリックサンプルデータを受け取ること、及び当該データをユーザID及びPINと組み合わせることを含む。その後、ユーザ及びバイオメトリックサンプルを認証するために、データのこのパッケージは、バイオメトリック照合サーバに安全に送信される。一旦認証されると、バイオメトリック照合サーバは、当該データパッケージに仮の証明書及び公開/秘密鍵ペアを加えてクライアントコンピュータに返す。その後、クライアントコンピュータは、認証システムにアクセスして続いて安全な資源へのアクセスを獲得するためにこの情報を使用することができる。
Description
本発明は、バイオメトリック証明書確認フレームワークに関する。
対話型のユーザ認証又はネットワーク認証のために使用されるバイオメトリックサンプルは、サンプリングされるたびにそれらが異なるという点で、現在の認証スキームで使用される従来のパスワードや暗号鍵とは異なる。バイオメトリックサンプルはいくつかの理由で暗号鍵資料にとって理想的ではない。バイオメトリックサンプルは強度が制限され、暗号の種(シード)のエントロピーは再生成又は変更され得る。バイオメトリックサンプルは絶対的な値ではない。それらはサンプルであって、1回のサンプリングから次のサンプリングまでに異なることもある。暗号鍵は元のシードから定義された絶対的なものである一方、バイオメトリック認証の測定値は変化する。これらの制限のために、バイオメトリックサンプルは暗号鍵資料にとって最適の選択ではない。
バイオメトリックサンプルは、通常、以前にスキャンされかつ/又は計算された格納されたサンプル(しばしば業界で「テンプレート」と呼ばれる)に対して照合され、格納されたサンプルとの実際の一致が確認される場合、次に、格納された暗号鍵資料はシステムに公開されて、ユーザーログイン・セッションが当該鍵資料を使用して進むことを可能にする。しかし、一致処理及び/又は鍵保管が物理的に安全なサーバ等の安全な(セキュアな)環境の外部で行われる場合、鍵資料及び/又は参照テンプレートは攻撃と開示にさらされる。
ワシントン州レドモンドのマイクロソフト(登録商標)・コーポレーションによって提供される現在のWindows(登録商標)アーキテクチャは、パスワード又はケルベロス/PKINIT認証をサポートするが、認証の通常の部分としてサーバ上でバイオメトリック認証のテンプレートの照合を行うことをサポートしない。今日、バイオメトリック認証のソリューションベンダーによって提供されるソリューションは、典型的には、クライアントマシン上でパスワード又はx.509ベースの証明書等の従来のログイン証明書を格納し、クライアントPC上にこれまた格納される参照バイオメトリックサンプルに対して有効なテンプレートの一致があった後にそれらを提出する。現在のシステムでは、パスワード、x.509ベースの証明書及び参照テンプレートは、それらが物理的に安全なサーバの外部に存在するため、攻撃及び開示にさらされる。
したがって、安全な環境においてバイオメトリック認証を使用するシステム又は方法を提供することが望ましい。本発明はこれら及び他の事項に対処するものである。
ここに述べる事項は、発明の詳細な説明においてさらに以下に述べられる概念の選択を単純化された形式で導入するために提供される。ここに述べる事項は、特許請求の範囲に記載の主題の重要な特徴又は本質的な特徴を識別するようには意図されず、特許請求の範囲に記載の主題の範囲を制限するように使用されることも意図されない。
Windows(登録商標)又はアクティブ・ディレクトリベースのドメイン・インフラストラクチャー等の認証システムへのアクセスのためのバイオメトリック認証の使用での進歩は、ユーザからバイオメトリックデータを取得すること及びクライアントコンピュータへユーザID及びPINを入力することを含む。クライアントコンピュータは、ユーザのバイオメトリックデータをユーザのためのバイオメトリックデータのテンプレートの組とを照合することができるバイオメトリック照合サーバと安全に通信する。バイオメトリック認証サーバは、ユーザが認証され識別されることを確認することができる。一旦確認されたならば、照合サーバは、クライアントコンピュータに暗号鍵と共に仮の証明書を送信する。仮証明書と鍵はケルベロス認証システムへの即時アクセスを獲得するために使用される。クライアントによる仮証明書のその後の使用は、証明書の期限が切れるため、ケルベロス認証システムへのアクセスが拒絶される結果となる。一旦クライアントコンピュータがケルベロス・システムへのアクセスを獲得すれば、その後、コンピューティング資源の安全な組へのその後のアクセスを得ることができる。
本発明は、安全な認証計算システム環境を用いる場合にうまく機能する。1つのそのような既存の認証システム環境は、ケルベロスとして当業者によく知られている。図1は、典型的なケルベロス・システムのブロック図である。ケルベロスは、安全でないネットワークを介して通信する個人が、安全なやり方で互いに身元を証明することを可能にするコンピュータネットワーク認証プロトコルである。ケルベロスは、盗聴又はリプレーアタックを防ぎ、データの完全を保証する。ケルベロスはユーザとサービスの両方が互いの身元を確認する相互認証を提供する。ケルベロスは、対称鍵暗号に基礎を置き、信頼された第三者を必要とする。
ケルベロスは、認証サーバ(AS)104及びチケット付与サーバ(TGS)106という2つの機能部を含んでいる。ケルベロスは、ユーザーの身元を証明するための役目をする「チケット」に基づいて機能する。ケルベロスを使用すると、クライアント102は、サービスサーバ(SS)108のリソースを使用するためにその身元を証明することができる。ケルベロスは、秘密鍵のデータベースを維持し、ネットワーク上の各エンティティは、クライアントであってもサーバであっても、自身及びケルベロスにのみ既知の秘密鍵を共有する。この鍵についての知識は、エンティティの身元を証明するための役目をする。2つのエンティティ間の通信に対して、ケルベロスは、相互作用を安全にするためにそれらが使用することができるセッション鍵を生成する。
ケルベロス・システムを使用して、クライアントはAS104に対して自身を認証し、次に、TGS106に対して、クライアントがサービスのチケットを受け取ることを許可されていることを示し(及び当該チケットを受け取り)、次に、クライアントがサービスを受けることを承認されたことをSSに対して示す。ユーザがクライアント102上でユーザ名及びパスワードを入力すると処理が始まる。クライアントは、入力されたパスワードについて一方向ハッシュを実行し、これはクライアントの秘密鍵になる。クライアントは、リンク110を介して、ユーザに代わってサービスを要求する平文メッセージをAS104に送信する。この点において、秘密鍵もパスワードもASに送られない。
AS104は、クライアント102がそのデータベースにあるかどうかチェックする。そのデータベースにある場合、ASはリンク110を介してクライアントに以下の2つのメッセージを送り返す:
*メッセージA: ユーザの秘密鍵を使用して暗号化されたクライアント/TGSセッション鍵
*メッセージB: TGSの秘密鍵を使用して暗号化された、チケット付与チケット(クライアントID、クライアント・ネットワーク・アドレス、チケット有効期間及びクライアント/TGSセッション鍵を含む)。
*メッセージA: ユーザの秘密鍵を使用して暗号化されたクライアント/TGSセッション鍵
*メッセージB: TGSの秘密鍵を使用して暗号化された、チケット付与チケット(クライアントID、クライアント・ネットワーク・アドレス、チケット有効期間及びクライアント/TGSセッション鍵を含む)。
一旦クライアントがメッセージA及びBを受け取れば、クライアントは、クライアント/TGSセッション鍵を得るためにメッセージAを解読する。このセッション鍵はTGSとのさらなる通信に使用される。(注:TGSの秘密鍵を使用して暗号化されるので、クライアントはメッセージBを解読することができない。)この点において、クライアント102は、TGSに対して自身を認証するために十分な情報を持っている。
サービスを要求する場合、クライアント102はリンク112を介してTGS106に以下の2つのメッセージを送信する:
*メッセージC: メッセージBからのチケット付与チケット及び要求されたサービスのIDからなる
*メッセージD: クライアント/TGSセッション鍵を使用して暗号化された認証コード(authenticator)(クライアントID及びタイムスタンプからなる)。
*メッセージC: メッセージBからのチケット付与チケット及び要求されたサービスのIDからなる
*メッセージD: クライアント/TGSセッション鍵を使用して暗号化された認証コード(authenticator)(クライアントID及びタイムスタンプからなる)。
メッセージC及びDを受け取ると、TGS106はクライアント/TGSセッション鍵を使用してメッセージD(認証コード)を解読し、リンク112を介してクライアント102に以下の2つのメッセージを送信する:
*メッセージE: サービスの秘密鍵を使用して暗号化されたクライアント−サーバチケット(client-to-server ticket)、(クライアントID、クライアント・ネットワーク・アドレス及び有効期間を含む)
*メッセージF: クライアント/TGSセッション鍵で暗号化されたクライアント/サーバー・セッション鍵。
*メッセージE: サービスの秘密鍵を使用して暗号化されたクライアント−サーバチケット(client-to-server ticket)、(クライアントID、クライアント・ネットワーク・アドレス及び有効期間を含む)
*メッセージF: クライアント/TGSセッション鍵で暗号化されたクライアント/サーバー・セッション鍵。
TGS106からメッセージE及びFを受け取ると、クライアント102は、SS108に対して自身を認証するために十分な情報を持っている。クライアント102はリンク114を介してSS108に接続し、以下の2つのメッセージを送信する:
*メッセージG: サービスの秘密鍵を使用して暗号化されたクライアント−サーバチケット、
*メッセージH: クライアントID及びタイムスタンプを含み、クライアント/サーバー・セッション鍵を使用して暗号化される新しい認証コード。
*メッセージG: サービスの秘密鍵を使用して暗号化されたクライアント−サーバチケット、
*メッセージH: クライアントID及びタイムスタンプを含み、クライアント/サーバー・セッション鍵を使用して暗号化される新しい認証コード。
SS108は、それ自身の秘密鍵を使用してチケットを解読し、クライアントの真の身元及びクライアントのために働く旨を確認するために、リンク114を介してクライアント102に以下のメッセージを送信する。
*メッセージI: クライアント/サーバー・セッション鍵を使用して暗号化された、クライアントの最近の認証コードに1を加えて得られるタイムスタンプ。
*メッセージI: クライアント/サーバー・セッション鍵を使用して暗号化された、クライアントの最近の認証コードに1を加えて得られるタイムスタンプ。
クライアント102は、SS108との共有鍵を使用して上記確認を解読し、タイムスタンプが正確に更新されるかどうかチェックする。正確に更新されるものであれば、その後、クライアント102は、SS108を信頼することができ、SS108へのサービス要求の発行を開始することができる。その後、SS108はクライアント102に対して、要求されたサービスを提供することができる。
本発明は、バイオメトリックサンプリング装置を備えたケルベロス・システムの態様を有利に使用することができる。1つの環境では、バイオメトリックシステムで登録される各ユーザの参照テンプレートを保持する、新しく定義されたバイオメトリック照合サーバに対して、ユーザ名、ドメイン名、UPNなどのような要求されたユーザ身元、PIN/パスワード及び読み手に署名された(reader-signed)暗号のバイオメトリックサンプルが安全に送られる、新しい枠組みが実施され得る。サンプル上の要求された身元、PIN/パスワード、署名及び一致がすべて確認される場合、その後、X.509証明書又は対称鍵又はワンタイムパスワードなどの仮の(一時的な)証明書(信任状)が生成され、ユーザに返される。1つの実施例では、代わりの仮証明書を、当業者に知られているように使用することができる。その後、ユーザは認証システムにより自動又は手動の方法でのログインのために証明書を使用してもよい。
この新しい枠組は、上述のような現在のバイオメトリック認証の実施よりも、対話型のユーザ・ログインやネットワーク・ユーザ・ログインに使用される暗号鍵資料のよりよい保護を提供する。新しい枠組の利点は、バイオメトリックサンプリング装置の内部の暗号鍵を、不正使用(tampering)からサンプルを保護するために使用できることを含んでいる。この暗号鍵は、バイオメトリックサンプリング装置の内部の集積回路内に提供されてもよい。バイオメトリック照合サーバ上の鍵は、一時的なログイン証明書の生成のために使用されてもよい。この鍵は物理的に安全なサーバ上に存在し、証明書の作成のためにネットワークによって信頼される。ログインのためにユーザに与えられる証明書は、非常に短時間の間のみ使用可能である。また、この新しい枠組は現在のケルベロス/PKINIT認証構造と互換性をもつ。
図2は本発明の機能の態様を示すブロック図である。ユーザ入力202は、クライアントコンピュータ206及びバイオメトリックサンプリング装置204の両方に提供される。ユーザー入力は、サービスサーバ212中のリソースへのアクセスを獲得するべくクライアントにログオンするために、バイオメトリック認証システムにおいて必要である。サーバ212にアクセスするために、ユーザーは、バイオメトリック照合サーバ208を使用して、バイオメトリックサンプリング装置204及びクライアントコンピュータ206を介して識別される必要がある。認証システム210と共に、ユーザは、その後、ユーザが認証されれば、サービスサーバ212を使用することができる。
本発明の態様に関する典型的なシナリオでは、ユーザは、ユーザーID及びPIN又はパスワードの入力によりクライアントのアクセスを始めることができる。これは、ユーザー入力202の一部を形成する。クライアントコンピュータ206は、バイオメトリックサンプルを提示するようにユーザに促すことができる。いくつかのシステムでは、バイオメトリックサンプルは、能動的に収集する代わりに単に受身的に収集されてもよい。バイオメトリックサンプリング装置204は、ユーザのバイオメトリックサンプルを収集する。その後、バイオメトリックサンプリング装置204は、バイオメトリックサンプルに暗号的に署名し、クライアントコンピュータ・システム206へ転送する。暗号の署名はクライアントコンピュータ内での不正使用からバイオメトリックサンプルを保護するために使用される。ディジタル暗号の署名は、サンプルをとったバイオメトリック認証装置に対する発生元認証を確立する。この動作は、既知の発生源から新鮮なサンプルがクライアントに提供されることを証明する。
その後、クライアントコンピュータ206は、バイオメトリック照合サーバ208に対する安全な接続226を確立し、バイオメトリックサンプル情報を転送する。1つの実施例において、セキュア・ソケット・レイヤー(SSL)及び/又はトランスポート・レイヤー・セキュリティ(TLS)接続は、伝送中の不正使用からサンプルを保護するために、クライアント206とバイオメトリック照合サーバ208又は他の安全なリンク方法との間でなされる。
クライアント206からバイオメトリック認証サーバ208へ送られた情報は、デジタル署名、バイオメトリックサンプル、ユーザー入力PIN及び/又はパスワード、タイムスタンプ及び/又はワンタイムパスワードを含む。このデータが、バイオメトリック照合サーバ208のデータベース中でユーザに関連付けられた参照データと一致する場合、バイオメトリック照合サーバは、暗号の公開/秘密鍵ペア、及びユーザログイン・セッションのためのx.509証明書等のデジタル証明書を生成する。短時間で有効期限が切れるように、デジタル証明書は短い有効期間で構築される。デジタル証明書と鍵ペアは、バイオメトリック照合コンピュータ208からクライアントコンピュータ206へ、安全なリンクによって送られる。本発明の1つの態様では、仮の(一時的な)デジタル証明書が、サービス・サーバ212リソースにアクセスする際にセキュリティレベルを増加させるために発行される。多くのバイオメトリック認証装置リーダ又はバイオメトリック認証システムが、バイオメトリックリーダ又はクライアントコンピュータに永久的な証明書を格納している。これは、先のアクセスで使用された証明書の提示による違法のアクセスの危険を増加させる。認証システムによって認識される仮の又は一時的な証明書の生成によって、バイオメトリック読み取りの新鮮さ及び証明書の強度は向上させられる。固定期間内に1セットの認証システム証明書より多くを得るために再使用することができないので、有効性において、仮の一時的な証明書はより安全である。1つの実施例では、固定期間は10分から数時間の時間間隔で固定されてもよい。従って、証明書は、特定の認証セッションの間唯一のものとなる。認証システムに対して割当てられた時間内に仮の証明書を使用しないことは、証明書の期限切れにより認証システムのアクセスの拒絶に帰着する。
一旦鍵と証明書が発行されたならば、クライアント206は、例示的な実施例においては、ケルベロスKDC(鍵配布センター、Key Distribution Center)となる、安全なシステム210に対して自身を認証することに進むことができる。一例の認証システムはケルベロス・システムである。1つのケルベロス認証の実施例では、クライアントは、現在のPKINITプロトコルを使用して、認証要求として、ケルベロス認証サーバ(図1を参照)に対し、ユーザーID、証明書及び署名を提示する。PKINIT認証プロトコルが成功する場合、ケルベロス・チケット付与チケット(TGT)を含んでいるユーザ・トークンが、ケルベロスベースのネットワークでのその後の使用のためにクライアント206に対して発行される。クライアント106は、その時に、一時的なPKI証明書及び鍵又は鍵ペアを廃棄してもよい。クライアント206は、その後、さらなるケルベロス・アクセス・プロトコルによってサービスサーバ212へのアクセスを自由に獲得することができる。
図3は、認証システムとともにバイオメトリック認証装置を使用する方法300を示す流れ図である。その処理は、バイオメトリック認証システムを使用するクライアントコンピュータのログインセッションをユーザが開始することによって始まる(ステップ302)。1つの実施例では、クライアントコンピュータがバイオメトリックサンプルを提供するようにユーザに促すような、対話型処理に遭遇する。別の実施例においては、バイオメトリックサンプリング装置はサンプルを受動的に収集する。いずれの場合も、クライアントは、ユーザーID、個人識別番号(PIN)、及び/又はパスワードを収集する(ステップ304)。いくつかのバイオメトリック認証システムは、PINとパスワードの両方を要求してもよく、その一方で他のものはどちらも要求しなくてもよい。しかし、PIN及び/又はパスワードを含むことにより、バイオメトリックサンプリングシステムでユーザ証明書を収集する処理に対して一層の権限及び信頼性が加わる。というのは、それがユーザの協力を必要とし、生のデータを示すことができるからである。いくつかのシステムにおいて、PlN又はパスワードは、バイオメトリックサンプリング装置によって、及び、遠隔のバイオメトリック照合サーバによって、両方とも局所的に、必要となり得る。
一層のセキュリティ対策として、ユーザから集められたバイオメトリックデータは、デジタル処理で署名される。 バイオメトリックデータのこのデジタル署名は、データを収集するために特定のバイオメトリックサンプリング装置が使用されたことを示す。例えば、クライアントコンピュータによって認識されないバイオメトリック認証装置データが提示される場合、クライアントコンピュータは、使用されるサンプリング装置をクライアントが認識できないことに基づいて、バイオメトリックデータを拒絶することができる。加えて、バイオメトリックサンプルデータの新鮮さを証明するために、タイムスタンプがバイオメトリックサンプルに加えられてもよい。例えば、時間が古くなったデータがクライアントコンピュータに提示される場合、クライアントコンピュータは、古くて不正に提出された可能性があるものであるとして、バイオメトリックデータを拒絶してもよい。さらなる代替として、ワンタイムパスワードが、タイムスタンプとともに又はその代わりに加えられてもよい。タイムスタンプ及び/又はワンタイムパスワードが加えられる例において、デジタル署名は収集されたデータのすべてに適用されてもよい。
ユーザ照明書及びバイオメトリックデータを収集した後に、バイオメトリック照合サーバとの安全なリンクが開拓され、クライアントコンピュータは収集されたデータを安全に送信する(ステップ306)。安全なリンクは、クライアントからバイオメトリック照合サーバまで秘密鍵を使用して確立されてもよい。使用される秘密鍵は、当該鍵が安全なトランザクションにおいてクライアントに与えられた場合、バイオメトリック認証サーバに来てもよい。また、秘密鍵は、外部機関により安全に提供することができ、クライアントに付与することができる。その後、クライアントは、署名されたバイオメトリックデータ、ユーザーID及びPIN又はパスワード、並びにタイムスタンプ又はワンタイムパスワードを含むデータのページを暗号化するために秘密鍵を使用する。
バイオメトリック認証サーバにおいて、収集されたデータの多くのチェックが行なわれる。ステップ308−316のチェックが任意の論理的な順序で実行できる。一つの実施例では、バイオメトリックデータ及びユーザ証明書のパッケージは、タイムスタンプ及びワンタイムパスワードのデータとともに、有効性を検査される。ユーザーIDはチェックされ、バイオメトリック照合サーバにリストされた許可されたユーザのリストと照合される(ステップ308)。このステップでは、バイオメトリック照合サーバは、識別情報と一致するユーザが存在することを確認する。そのようなユーザが存在しなければ、処理300は失敗し、ユーザ・ログオンは終了する。
パスワード又はPIN情報がバイオメトリックデータ収集と共に提示された場合、当該情報は、許可されたユーザに属するものとして確認される(ステップ310)。前述のように、ユーザPIN又はパスワード情報の確認が無効の場合、処理300は失敗し、ユーザ・ログオンは終了する。次に、バイオメトリックデータ自体が照合される(ステップ312)。提出されたバイオメトリックデータの比較は、バイオメトリック照合サーバを介して利用可能なバイオメトリックデータの安全なテンプレートに対して好ましくは行なわれる。テンプレート情報は、当業者に既知の任意の安全な手段によって提供されてもよい。バイオメトリック照合が統計的に有意な相関性や一致をもたらさない場合、処理300は失敗し、ユーザーログインは終了する。
タイムスタンプ又はワンタイムパスワードがバイオメトリックデータ収集の時に提出されたか又は加えられた場合、バイオメトリックデータの別の確認が行なわれてもよい(ステップ314)。このタイムスタンプ又はワンタイムパスワードのデータは、得られたバイオメトリックデータが新鮮であり、単にコピーされたり再提出されたものでないことを保証するのに役立つ。1つの実施例では、ワンタイムパスワード又はタイムスタンプは、バイオメトリックサンプリング装置自体、又はクライアントコンピュータによって生成されてもよい。いずれの場合も、タイムスタンプ又はワンタイムパスワードのデータは、最近収集されたサンプルであることを示すものとしてハードウェアにより加えられたバイオメトリックサンプルデータ上のスタンプとして、加えられてもよい。ハードウェアは、タイムスタンプ、ワンタイムパスワード及び/又はデジタル署名を加えるバイオメトリックサンプリング装置内の集積回路に存在してもよい。
バイオメトリックデータの別の確認は、バイオメトリックサンプリング装置によって加えられるデジタル署名が、バイオメトリック認証装置を認証することの確認である(ステップ316)。デジタル署名によって示されたバイオメトリックサンプリング装置がクライアントコンピュータに関連付けられたものであることをバイオメトリック照合サーバが認識しない場合、処理300は失敗し、ユーザーログインは終了する。デジタル署名も、バイオメトリックデータ及びタイムスタンプ及び/又はワンタイムパスワードがサンプリング装置による生成の後に操作されなかったことを確認するために使用することができる。
バイオメトリック照合サーバに与えられた情報のパッケージが受信のための基準のすべてを満たすことが確認されると、次に、鍵及び少なくとも1つの仮(一時的)証明書が生成される(ステップ318)。バイオメトリック照合サーバは、クライアントによる使用のための公開/秘密鍵ペアを生成する。公開/秘密鍵ペアは、RSA、ECC、DH又は当業者に知られているような他のタイプのもの等の任意の特定の暗号アルゴリズムによっても制限されていない。クライアント及び認証システムと互換性をもつすべての種類の暗号手段は、本発明において使用可能である。同様に、証明書フォーマットはX.509に制限されていない。フォーマットは、XrML、ISO REL、SAML又は当業者に既知の他のフォーマットであり得る。クライアント及び認証システムと互換性があれば、すべての種類のデジタル証明書を使用できる。さらに、クライアント、バイオメトリック照合サーバ、認証システム及びサービスサーバ等の機能間の任意の接続において使用される暗号鍵及び方法は対称であっても非対称であってもよい。
バイオメトリックリーダ、走査装置又はサンプリング装置で使用される暗号鍵は製造中に供給されてもよいし、暗号鍵階層(cryptographic key hierarchy)、公開鍵基盤(public key infrastructure)又は他の外部機関を使用して、組織によって供給されてもよい。バイオメトリック照合サーバ上で生成される暗号鍵は、ソフトウェアで生成されてもよいし、HSM又はアクセラレータなどのハードウェアデバイスを使用して生成されてもよいし、鍵機関にとって追跡可能な外部の発行元からロードされた、あらかじめ計算された鍵のリストを使用して生成されてもよい。
図3及び処理300に戻り、鍵及び証明書の生成後、鍵及び証明書がクライアントに与えられる(ステップ320)。一般に、バイオメトリック照合サーバにアップロードされる情報はすべて、鍵及び証明書と共に返される。これにより、クライアントは、クライアントコンピュータ上にデータを格納することなく、ユーザ証明書(ユーザーID、PIN、及び/又はパスワード)にクライアントがアクセスすることを可能にする。クライアントがバイオメトリック照合サーバから鍵及び証明書並びに返された証明書を受け取った後、所望のコンピュータ資源にアクセスするために、クライアントは、認証システムに対して、受け取った情報を適用することができる(ステップ322)。ここで、本発明の実施例は、認証システムの性質に依存して変化することがあり得る。1つの実施例では、ケルベロス認証プロトコルが使用される。
1つの実施例では、クライアントは、図1に関して上述したようなケルベロス・プロトコルを開始してもよい。プロトコル中の要素として、クライアントは、結局のところ、仮証明書、ユーザーID、PIN及び/又はパスワード、暗号鍵を提示し、保護されたサービスサーバを介したコンピュータリソースへのアクセスが与えられるように、ケルベロス・チケット付与サーバへと当該情報を渡して、サービス・チケットを要求する。他の実施例は、使用される特定の認証サーバの必要によって要求されるような異なるプロトコルを使用してもよい。
図3の方法の1つの代替例において、ユーザID、PIN及び/又はパスワード並びにバイオメトリックサンプルは、バイオメトリック照合サーバに対して送る前に、ハードウェアデバイスによってローカルに最初に確認されてもよい。別の代替例では、データはすべてクライアントによって収集され、サーバに渡され、安全な処理でサーバによってのみ確認されてもよい。
図3の方法の1つの実施例において、バイオメトリック認証サーバへのデータパッケージの送信は(ステップ306)、さらにクライアントコンピュータ206によって生成された秘密/公開鍵ペアの一部である公開鍵を含んでいる。バイオメトリック認証サーバへデータパッケージ内で送られる公開鍵は、デジタル証明書等の証明書と共にクライアントコンピュータ206に送り返される前に、バイオメトリック認証サーバによって認証される(ステップ320)。
本発明の1つの実施例において、図2の機能は様々な形式で組み合わせられてもよい。例えば、クライアント206及びバイオメトリック照合サーバは組み合わせられてもよいし、又は、認証システム210及びクライアントコンピュータは組み合わせられてもよいし、又は、バイオメトリックサンプリング装置204及びクライアントコンピュータ206は組み合わせられてもよいし、又は、認証サーバ210及びバイオメトリック照合サーバ208が組み合わせられてもよい。図2の機能的ブロックは様々な方法で組み合わせられてもよいが、結果として得られるシステム200の全体機能は損なわれない。
例示的なコンピュータ装置
図4及び以下の説明は、媒体記憶装置とインターフェースするのに適したホストコンピュータの簡潔な概説を提供するように意図される。汎用コンピュータが以下に述べられているが、これは単一プロセッサの1つの例に過ぎず、複数のプロセッサを備えたホストコンピュータの実施例は、ネットワーク/バス相互運用性及び相互作用を持っているクライアントのような他のコンピュータ装置で実施されてもよい。
例示的なコンピュータ装置
図4及び以下の説明は、媒体記憶装置とインターフェースするのに適したホストコンピュータの簡潔な概説を提供するように意図される。汎用コンピュータが以下に述べられているが、これは単一プロセッサの1つの例に過ぎず、複数のプロセッサを備えたホストコンピュータの実施例は、ネットワーク/バス相互運用性及び相互作用を持っているクライアントのような他のコンピュータ装置で実施されてもよい。
必ずしも必要なわけではないが、本発明の実施例は、装置又はオブジェクト向けのサービスの開発者が使用するために、オペレーティング・システムを介して実施することができ、及び/又はアプリケーション・ソフトウェア内に含ませることができる。ソフトウェアは、クライアント・ワークステーション、サーバ、又はその他の装置などの、1つ又は複数のコンピュータで実行される、プログラム・モジュールなどの、コンピュータ実行可能命令の一般的コンテキストにおいて記述することができる。一般に、プログラム・モジュールは、特定のタスクを実行したり、特定の抽象データ型を実装したりする、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含む。通常、プログラム・モジュールの機能は、様々な実施形態において、必要に応じて、組み合わせたり分散させたりすることができる。さらに、本発明の様々な実施例が、その他のコンピュータ構成を用いて実行できることは、当業者であれば理解されよう。本発明とともに使用するのに適している可能性のあるその他の周知のコンピューティング・システム、環境、及び/又は構成には、パーソナル・コンピュータ(PC)、現金自動預け払い機(automated teller machines)、サーバ・コンピュータ、ハンドヘルド又はラップトップ装置、マルチ・プロセッサ・システム、マイクロ・プロセッサ・ベースのシステム、プログラム可能な家庭用電化製品、ネットワークPC 、電気器具、照明、環境制御要素、ミニ・コンピュータ、メインフレーム・コンピュータなど、が含まれるが、これらに限定されるものではない。本発明の実施例は、タスクが通信ネットワーク/バス又はその他のデータ伝送媒体を介して結合された遠隔処理装置で実行される、分散コンピューティング環境でも実施することができる。分散コンピューティング環境では、プログラム・モジュールは、メモリ・ストレージ装置を含む、ローカル・コンピュータ・ストレージ媒体及びリモート・コンピュータ・ストレージ媒体の両方に配置することができ、クライアント・ノードは、サーバ・ノードとして機能することもできる。
図4を参照すると、一例のホスト・コンピュータを実施するための例示的なシステムは、コンピュータ・システム410の形態をとる汎用コンピューティング装置を含む。コンピュータ410のコンポーネントには、プロセッシング・ユニット420、システム・メモリ430、及びシステム・メモリを含む様々なシステム・コンポーネントをプロセッシング・ユニット420に結合するシステム・バス421を含めることができるが、これらに限定されるものではない。システム・バス421は、様々なバス・アーキテクチャのいずれかを使用する、メモリ・バス又はメモリ・コントローラ、周辺バス、及びローカル・バスを含む、複数のタイプのバス構造のうちのいずれかとすることができる。
コンピュータ・システム410は一般に、様々なコンピュータ可読媒体を含む。コンピュータ可読媒体は、コンピュータ410によってアクセス可能な任意の利用可能な媒体とすることができ、揮発性及び不揮発性媒体、着脱可能及び着脱不能媒体を含む。たとえば、コンピュータ可読媒体は、コンピュータ記憶媒体を含み得るが、これらに限定されるものではない。コンピュータ記憶媒体は、コンピュータ可読命令、データ構造、プログラム・モジュール、又はその他のデータといった情報を記憶するための任意の方法又は技法によって実装される、揮発性及び不揮発性媒体、着脱可能及び着脱不能媒体を含む。コンピュータ記憶媒体には、ランダム・アクセス・メモリ(RAM)、読取専用メモリ(ROM)、電気的消却・プログラム可能型読取専用メモリー(EEPROM)、フラッシュ・メモリ、又はその他のメモリ技術、CDROM、CDRW、デジタル多用途ディスク(DVD)、又はその他の光ディスク記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置、又はその他の磁気記憶装置、あるいは所望の情報を記憶するのに使用でき、コンピュータ・システム410によってアクセス可能なその他の任意の媒体が含まれるが、これらに限定されるものではない。
システム・メモリ430は、読取専用メモリ(ROM)431やランダム・アクセス・メモリ(RAM)432などの、揮発性及び/又は不揮発性メモリの形態をとるコンピュータ記憶媒体を含む。基本入出力システム(BIOS)433は、起動処理中などにコンピュータ・システム410内の要素間の情報伝送を助ける基本ルーチンを含み、一般にROM431に記憶される。RAM432は一般に、プロセッシング・ユニット420が即座にアクセス可能な、及び/又は現在プロセッシング・ユニット420上で動作している、データ及び/又はプログラム・モジュールを含む。たとえば、図4には、オペレーティング・システム433、アプリケーション・プログラム435、その他のプログラム・モジュール436、及びプログラム・データ437が示されているが、これらに限定されるものではない。
コンピュータ・システム410には、他の取外し可能/取外し不能、揮発性/不揮発性のコンピュータ記憶媒体も含めることができる。例としてのみ、図4に、取外し不能の不揮発性磁気媒体から読み取るか書き込むハードディスクドライブ431、取外し可能の不揮発性磁気ディスク452から読み取るか書き込む磁気ディスクドライブ451、及びCD ROM、CDRW、DVD又は他の光学媒体などの取外し可能不揮発性光ディスク456から読み取るか書き込む光ディスクドライブ455を示す。例示的な動作環境で使用することができる他の取外し可能/取外し不能、揮発性/不揮発性のコンピュータ記憶媒体には、磁気テープカセット、フラッシュメモリカード、ディジタル多用途ディスク、ディジタルビデオテープ、固体RAM、固体ROM等が含まれるが、これに制限はされない。ハードディスクドライブ441は、通常は、インターフェース440などの取外し不能メモリインターフェースを介してシステムバス421に接続され、磁気ディスクドライブ451及び光ディスクドライブ455は、通常は、インターフェース450などの取外し可能メモリインターフェースによってシステムバス421に接続される。
上記で論じ、図4に示すドライブとそれに関連するコンピュータ記憶媒体は、コンピュータ・システム410のコンピュータ可読命令、データ構造、プログラムモジュール、及びその他のデータの記憶を実現する。例えば図4では、ハードディスクドライブ441を、オペレーティングシステム444、アプリケーションプログラム445、その他のプログラムモジュール446、及びプログラムデータ447を格納するものとして図示している。これらの構成要素は、オペレーティングシステム444、アプリケーションプログラム445、その他のプログラムモジュール446、及びプログラムデータ447と同じものでも異なるものでもよいことに留意されたい。ここでは少なくともそれらが異なる複製であることを表すために、オペレーティングシステム444、アプリケーションプログラム445、その他のプログラムモジュール446、及びプログラムデータ447に異なる参照符号をつけている。
ユーザは、キーボード462と、一般にマウス、トラックボール、あるいはタッチパッドと呼ばれるポインティング装置461などの入力装置を介してコンピュータ・システム410にコマンドと情報を入力することができる。その他の入力装置(図示せず)には、マイクロフォン、ジョイスティック 、ゲームパッド、サテライトディッシュ、スキャナなどがある。上記及びその他の入力装置は、しばしばシステムバス421に結合されたユーザ入力インターフェース460を通じてプロセッサ420に接続されるが、パラレルポート、ゲームポート、あるいはユニバーサルシリアルバス(USB)など他のインターフェース及びバス構造によって接続することもできる。モニタ491又はその他のタイプの表示装置もビデオインターフェース490などのインターフェースを介してシステムバス421に接続され、ビデオインタフェース490はビデオメモリ(図示せず)と通信することができる。コンピュータ・システムはモニタ491に加えてスピーカ497やプリンタ496など他の周辺出力装置も含むことができ、これらの装置は出力周辺インターフェース495を介して接続することができる。
コンピュータ・システム410は、リモートコンピュータ480など1つ又は複数のリモートコンピュータへの論理接続を使用するネットワーク環境あるいは分散環境で動作することができる。リモートコンピュータ480は、パーソナルコンピュータ、サーバ、ルータ、ネットワークPC、ピア装置、あるいはその他の共通ネットワークノードでよく、図4にはメモリ記憶装置481しか示していないが、通常は上記でコンピュータ・システム410に関連して説明した要素のうちの多くあるいはすべてを含む。図4に示す論理接続には、ローカル・エリア・ネットワーク(LAN)471と広域ネットワーク(WAN)473が含まれるが、その他のネットワーク/バスも含むことができる。このようなネットワーキング環境は、家庭、オフィス、企業規模のコンピュータネットワーク、イントラネット、及びインターネットなどで一般的なものである。
LANネットワーキング環境で使用される時に、コンピュータ・システム410は、ネットワークインターフェース又はネットワークアダプタ470を介してLAN471に接続される。WANネットワーキング環境で使用される場合、コンピュータ・システム410に、通常は、インターネットなどのWAN473を介する通信を確立する、モデム472又は他の手段が含まれる。内蔵又は外付けとすることができるモデム472は、ユーザ入力インターフェース460を介して、又は別の適当な機構を介して、システムバス421に接続することができる。ネットワーク化された環境では、コンピュータ・システム410に関して図示されたプログラムモジュール又はその一部を、リモートメモリストレージデバイスに格納することができる。制限ではなく例として、図4に、メモリデバイス481に存在するリモートアプリケーションプログラム485を示す。図示のネットワーク接続が、例示的であり、コンピュータの間の通信リンクを確立する他の手段を使用することができることを理解されたい。
様々な分散コンピューティングフレームワークが、パーソナルコンピューティングとインターネットの集束に鑑みて、開発され、また開発されつつある。個人及びビジネスユーザに、アプリケーション及びコンピューティングデバイスに関するシームレスに相互運用可能なウェブ対応インターフェースが与えられ、コンピューティング活動がますますウェブブラウザ指向又はネットワーク指向になる。
例えば、マイクロソフト・コーポレーションから入手可能なMICROSOFT(登録商標).NET(商標)プラットフォームは、サーバ、ウェブベースのデータ記憶装置のようなビルディングブロック・サービス及びダウンロード可能なデバイス・ソフトウェアを含んでいる。本明細書に記載の典型的な実施例は計算装置上に存在するソフトウェアに関して記述されているが、本発明の実施例の1つ又は複数の部分は、オペレーティング・システム、アプリケーション・プログラム・インターフェース(API)又はコプロセッサ、ディスプレイ装置及び要求するオブジェクトのうちのいずれの間の「中間物」オブジェクトによって実施されてもよく、その結果.NET(商標)の言語及びサービスのすべてにおいて、また他の分散コンピューティングの枠組みにおいて同様に、サポートされ又はこれらを介してアクセスされることによって動作が行なわれてもよい。
上述のように、本発明の例示的な実施例が様々な計算装置及びネットワーク・アーキテクチャに関して説明されたが、基本的概念は、バイオメトリック証明書の確認スキームを実施することが望ましいあらゆる計算装置又はシステムに適用されてもよい。したがって、本発明の実施例に関して記述された方法とシステムは、様々なアプリケーション及びデバイスに適用されてもよい。例示的なプログラミング言語、名前及び例が様々な選択肢として本明細書において選択されたが、これらの言語、名前及び例は制限するようには意図されない。当業者であれば、本発明の実施例によって達成される同一の、類似の又は同等のシステム及び方法を達成するオブジェクト・コードを提供する多数の方法があることを理解するであろう。
本明細書に記述された様々な技術は、ハードウェアもしくはソフトウェアに関して、又は、適切な場合には両方の組合せと共に実施することができる。したがって、本発明の方法及び装置、又はそのある側面又は部分は、フロッピー(登録商標)ディスク、CD−ROM、ハードドライブ又は他の機械可読の記憶媒体のような有形の媒体に具体化されたプログラムコード(つまり命令)の形式をとってもよく、当該プログラムコードは、コンピュータ等のマシンへロードされてマシンによって実行されると、当該マシンは、本発明を実行するための装置になる。
本発明の態様が様々な図の好ましい実施例に関して記述されたが、他の同様の実施例が使用されてもよく、修正及び追加が本発明の同じ機能を行なうために、ここに記述された実施例に対して、本発明の範囲から逸脱することなくなされてもよいことを理解されたい。更に、ハンドヘルド装置オペレーティング・システム及び他の特定用途のオペレーティング・システムを含む様々なコンピュータ・プラットフォームが、特に無線ネットワーク化されたデバイスの数が増殖し続けるにつれて、考慮されるべきである。したがって、本願にて請求される発明は、どの単一の実施例にも制限されるべきでなく、添付の特許請求の範囲による広さと範囲の中で解釈されるべきである。
Claims (20)
- 認証システムとともにバイオメトリックサンプリング装置を使用する方法であって、
クライアントコンピュータ(206)によってバイオメトリックサンプルデータを受け取るステップであって、前記サンプルデータは該サンプルデータの起源を確認するデジタル署名を有する、受け取るステップと、
ユーザ識別(ID)並びに前記ユーザに関連付けられた個人識別番号(PIN)及びパスワードのうち少なくとも1つを受け取るステップと、
前記バイオメトリックサンプルデータ、前記PIN及び前記パスワードのうち少なくとも1つ並びに前記ユーザIDを含むデータパッケージを、バイオメトリック照合サーバ(208)へ送信するステップ(306)と、
照合サーバ(208)において、前記ユーザIDが許可されたユーザに関連付けられること(308)、前記ユーザPIN又はパスワードが有効であること、前記サンプルデータは前記許可されたユーザのデータのテンプレートと一致すること(312)。及び前記デジタル署名は有効であること(316)を確認するステップと、
前記照合サーバ(208)において、仮証明書及び少なくとも1の暗号鍵を生成するステップ(318)と、
前記データパッケージとともに前記仮証明書及び前記少なくとも1つの暗号鍵を前記クライアントコンピュータ(206)に送信するステップ(320)と、
前記クライアントコンピュータ(206)の外部の資源(212)に後にアクセスするために前記仮証明書及び前記少なくとも1つの暗号鍵を使用して、安全な認証システムにアクセスするステップ(210)とを含む方法。 - クライアントコンピュータによってバイオメトリックサンプルデータを受け取る前記ステップは、バイオメトリックサンプリング装置からサンプルデータ、タイムスタンプ及びデジタル署名を受け取るステップを含む請求項1記載の方法。
- データパッケージをバイオメトリック照合サーバへ送信する前記ステップは、安全なリンクを介して前記データパッケージを送信するステップを含み、前記データパッケージは、前記バイオメトリックサンプルデータ、前記ユーザID及び前記PIN又はパスワードを含む請求項1記載の方法。
- 前記データパッケージはクライアントが生成した公開鍵をさらに含み、前記照合サーバは、前記クライアントコンピュータに前記仮証明書を送信する前に、前記クライアントが生成した公開鍵を認証する請求項3記載の方法。
- 照合サーバにおいて仮証明書及び少なくとも1の暗号鍵を生成する前記ステップは、認証システムと互換性をもつ仮証明書及び公開/秘密鍵ペアを生成するステップを含む請求項1記載の方法。
- 前記公開/秘密鍵ペアは前記バイオメトリック照合サーバに安全に提供される請求項5記載の方法。
- 前記認証システムはケルベロス認証システムである請求項5記載の方法。
- 安全な認証システムにアクセスするステップは、サービスサーバの資源に後にアクセスするために仮の証明書及び公開/秘密鍵ペアを使用してケルベロス・システムにアクセスするステップを含み、前記仮証明書のフォーマットはX.509、XrML、ISO REL又はSAMLのうちの1つを含む請求項1記載の方法。
- 認証システムにアクセスするコンピュータ・システムであって、
ユーザ識別子(ID)のエントリが受け取られる、クライアントコンピュータ(206)に対するユーザ・インタフェース(202)と、
前記ユーザのバイオメトリックデータをサンプリングし、サンプリングされたバイオメトリックデータをデジタル署名とともに前記クライアントコンピュータ(206)に提供するバイオメトリックサンプリング装置(204)と、
前記バイオメトリックデータ、前記デジタル署名及び前記ユーザIDを含むデータパッケージを生成する、前記クライアントコンピュータ(206)において動作するプログラムの第1の部分と、
前記クライアントコンピュータ(206)とバイオメトリック照合サーバ(208)との間の安全な接続(226)であって、前記クライアントコンピュータ(206)から前記バイオメトリック照合サーバ(208)まで前記データパッケージを転送するために使用される安全な接続と、
前記データパッケージ内の情報を認証し、前記安全な接続(226)を介して、前記認証システム(210)にアクセスするための仮証明書及び少なくとも1つの鍵とともに前記データパッケージを返すプログラムと、
前記認証システム(210)にアクセスするための前記仮証明書及び少なくとも1つの鍵を使用する、前記クライアントコンピュータ(206)において動作する前記プログラムの第2の部分とを具備するコンピュータ・システム。 - バイオメトリックサンプリング装置は、デジタル署名とともに前記サンプリングされたバイオメトリックデータに付随する時間タグをさらに提供する請求項9記載のシステム。
- 前記データパッケージは、個人識別番号(PIN)及びパスワードの少なくとも1つをさらに含む請求項9記載のシステム。
- 前記安全な接続はSSL/TLSインターフェースを含む請求項9記載のシステム。
- 前記バイオメトリック照合サーバにおける前記プログラムは、前記ユーザーIDが有効なユーザーを表すこと、前記バイオメトリックデータが前記ユーザのバイオメトリック認証テンプレートと一致すること、及び前記デジタル署名が有効であることを確認する請求項9記載のシステム。
- 前記仮証明書は前記認証システムとの1つの認証セッションに対して有効である請求項9記載のシステム。
- 前記認証システムはケルベロス認証システムである請求項10記載のシステム。
- 前記認証システムにアクセスするための前記少なくとも1つのキーは公開/秘密鍵ペアを含む請求項9記載のシステム。
- 前記公開/秘密鍵ペアは、外部の鍵機関によって前記バイオメトリック照合サーバに提供される請求項16記載のシステム。
- ケルベロス・タイプの認証システムともにバイオメトリックサンプリング装置を使用する方法を実行するコンピュータ実行可能命令を有するコンピュータ可読媒体であって、前記方法は、
クライアントコンピュータ(206)によってバイオメトリックサンプルデータを受け取るステップであって、前記サンプルデータは、前記サンプルデータの起源を確認するデジタル署名を有する、受け取るステップと、
ユーザ識別(ID)並びに前記ユーザに関連付けられた個人識別番号(PIN)及びパスワードのうち少なくとも1つを受け取るステップと、
前記バイオメトリックサンプルデータ並びに前記PIN及び前記パスワードのうち少なくとも1つを含むデータパッケージを、バイオメトリック照合サーバ(208)へ送信するステップ(306)と、
前記照合サーバ(208)において、前記ユーザーID及びPINが許可されたユーザに関係付けられること(308)、前記サンプルデータが前記許可されたユーザのデータのテンプレートと一致すること(312)、及び前記デジタル署名が有効であること(316)を確認するステップと、
前記照合サーバ(208)において仮証明書及び公開/秘密鍵ペアを生成するステップと、
前記データパッケージとともに前記仮証明書及び前記鍵ペアを前記クライアントコンピュータ(206)に送信するステップと、
前記クライアントコンピュータ(206)の外部の資源(212)に後にアクセスするために、前記仮証明書及び前記鍵ペアを使用して前記ケルベロス・タイプの認証システム(210)にアクセスするステップとを含む、コンピュータ可読媒体。 - クライアントコンピュータによってバイオメトリックサンプルデータを受け取る前記ステップは、前記サンプルデータ、タイムスタンプ及びワンタイムパスワードのうち少なくとも1つ並びにデジタル署名をバイオメトリックサンプリング装置から受け取るステップを含む請求項18記載のコンピュータ可読媒体。
- ケルベロス・タイプの認証システムにアクセスする前記ステップは、サービスサーバの資源に後にアクセスするために、仮証明書及び公開/秘密鍵ペアを使用してケルベロス・システムにアクセスするステップを含み、前記仮証明書のフォーマットはX.509、XrML、ISO REL又はSAMLのうちの1つを含む請求項18記載のコンピュータ可読媒体。
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US11/477,160 US20100242102A1 (en) | 2006-06-27 | 2006-06-27 | Biometric credential verification framework |
PCT/US2007/014718 WO2008091277A2 (en) | 2006-06-27 | 2007-06-25 | Biometric credential verification framework |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2010505286A true JP2010505286A (ja) | 2010-02-18 |
JP2010505286A5 JP2010505286A5 (ja) | 2010-07-15 |
Family
ID=39644985
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2009518201A Pending JP2010505286A (ja) | 2006-06-27 | 2007-06-25 | バイオメトリック証明書確認フレームワーク |
Country Status (11)
Country | Link |
---|---|
US (1) | US20100242102A1 (ja) |
EP (1) | EP2033359A4 (ja) |
JP (1) | JP2010505286A (ja) |
KR (1) | KR20090041365A (ja) |
CN (1) | CN101479987A (ja) |
AU (1) | AU2007345313B2 (ja) |
CA (1) | CA2653615A1 (ja) |
MX (1) | MX2008015958A (ja) |
NO (1) | NO20085023L (ja) |
RU (1) | RU2434340C2 (ja) |
WO (1) | WO2008091277A2 (ja) |
Cited By (14)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2017508194A (ja) * | 2013-12-31 | 2017-03-23 | ホヨス ラボス アイピー リミテッド | 生体認証プロトコル標準のためのシステムおよび方法 |
JP2017535837A (ja) * | 2014-09-16 | 2017-11-30 | ノック ノック ラブズ, インコーポレイテッド | 認証サービスをネットワークアーキテクチャ内に統合するためのシステム及び方法 |
JP2018107514A (ja) * | 2016-12-22 | 2018-07-05 | 日本電気株式会社 | 位置情報保証装置、位置情報保証方法、位置情報保証プログラム、および通信システム |
US10366218B2 (en) | 2013-03-22 | 2019-07-30 | Nok Nok Labs, Inc. | System and method for collecting and utilizing client data for risk assessment during authentication |
US10637853B2 (en) | 2016-08-05 | 2020-04-28 | Nok Nok Labs, Inc. | Authentication techniques including speech and/or lip movement analysis |
WO2020121459A1 (ja) * | 2018-12-12 | 2020-06-18 | 日本電気株式会社 | 認証システム、クライアントおよびサーバ |
US10769635B2 (en) | 2016-08-05 | 2020-09-08 | Nok Nok Labs, Inc. | Authentication techniques including speech and/or lip movement analysis |
US10798087B2 (en) | 2013-10-29 | 2020-10-06 | Nok Nok Labs, Inc. | Apparatus and method for implementing composite authenticators |
JP2021520013A (ja) * | 2018-08-31 | 2021-08-12 | ワン・コネクト・スマート・テクノロジー・カンパニー・リミテッド・(シェンチェン) | 生理的特徴情報に基づく身分認証方法、装置、システム及び媒体 |
US11792024B2 (en) | 2019-03-29 | 2023-10-17 | Nok Nok Labs, Inc. | System and method for efficient challenge-response authentication |
US11831409B2 (en) | 2018-01-12 | 2023-11-28 | Nok Nok Labs, Inc. | System and method for binding verifiable claims |
US11868995B2 (en) | 2017-11-27 | 2024-01-09 | Nok Nok Labs, Inc. | Extending a secure key storage for transaction confirmation and cryptocurrency |
US11929997B2 (en) | 2013-03-22 | 2024-03-12 | Nok Nok Labs, Inc. | Advanced authentication techniques and applications |
US12041039B2 (en) | 2019-02-28 | 2024-07-16 | Nok Nok Labs, Inc. | System and method for endorsing a new authenticator |
Families Citing this family (78)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US8387130B2 (en) * | 2007-12-10 | 2013-02-26 | Emc Corporation | Authenticated service virtualization |
FR2958821A1 (fr) * | 2007-12-11 | 2011-10-14 | Mediscs | Procede d'authentification d'un utilisateur |
US8438385B2 (en) * | 2008-03-13 | 2013-05-07 | Fujitsu Limited | Method and apparatus for identity verification |
US8219802B2 (en) * | 2008-05-07 | 2012-07-10 | International Business Machines Corporation | System, method and program product for consolidated authentication |
CN101286840B (zh) * | 2008-05-29 | 2014-07-30 | 西安西电捷通无线网络通信股份有限公司 | 一种利用公钥密码技术的密钥分配方法及其*** |
US7877503B2 (en) * | 2008-07-02 | 2011-01-25 | Verizon Patent And Licensing Inc. | Method and system for an intercept chain of custody protocol |
US20100083000A1 (en) * | 2008-09-16 | 2010-04-01 | Validity Sensors, Inc. | Fingerprint Sensor Device and System with Verification Token and Methods of Using |
CN101447010B (zh) * | 2008-12-30 | 2012-02-22 | 飞天诚信科技股份有限公司 | 登录***及登录方法 |
US9246908B2 (en) * | 2009-01-08 | 2016-01-26 | Red Hat, Inc. | Adding biometric identification to the client security infrastructure for an enterprise service bus system |
US7690032B1 (en) | 2009-05-22 | 2010-03-30 | Daon Holdings Limited | Method and system for confirming the identity of a user |
US8549601B2 (en) * | 2009-11-02 | 2013-10-01 | Authentify Inc. | Method for secure user and site authentication |
AU2010315255B2 (en) * | 2009-11-05 | 2014-06-19 | VMware LLC | Single sign on for a remote user session |
US8874526B2 (en) | 2010-03-31 | 2014-10-28 | Cloudera, Inc. | Dynamically processing an event using an extensible data model |
US9081888B2 (en) | 2010-03-31 | 2015-07-14 | Cloudera, Inc. | Collecting and aggregating log data with fault tolerance |
US9082127B2 (en) | 2010-03-31 | 2015-07-14 | Cloudera, Inc. | Collecting and aggregating datasets for analysis |
US9319625B2 (en) * | 2010-06-25 | 2016-04-19 | Sony Corporation | Content transfer system and communication terminal |
US9886721B2 (en) | 2011-02-18 | 2018-02-06 | Creditregistry Corporation | Non-repudiation process for credit approval and identity theft prevention |
EP2698737A4 (en) * | 2011-04-12 | 2014-09-24 | Panasonic Corp | AUTHENTICATION SYSTEM, INFORMATION RECORDING SYSTEM, SERVER, PROGRAM, AND AUTHENTICATION METHOD |
US8762709B2 (en) | 2011-05-20 | 2014-06-24 | Lockheed Martin Corporation | Cloud computing method and system |
US9294452B1 (en) | 2011-12-09 | 2016-03-22 | Rightquestion, Llc | Authentication translation |
US11475105B2 (en) | 2011-12-09 | 2022-10-18 | Rightquestion, Llc | Authentication translation |
EP2791851A2 (en) * | 2011-12-14 | 2014-10-22 | VoiceCash IP GmbH | Systems and methods for authenticating benefit recipients |
FR2987529B1 (fr) * | 2012-02-27 | 2014-03-14 | Morpho | Procede de verification d'identite d'un utilisateur d'un terminal communiquant et systeme associe |
US9338008B1 (en) * | 2012-04-02 | 2016-05-10 | Cloudera, Inc. | System and method for secure release of secret information over a network |
RS54229B1 (en) | 2012-06-14 | 2015-12-31 | Vlatacom D.O.O. | BIOMETRIC ACCESS CONTROL SYSTEM AND PROCEDURE |
US9177129B2 (en) * | 2012-06-27 | 2015-11-03 | Intel Corporation | Devices, systems, and methods for monitoring and asserting trust level using persistent trust log |
US9582948B2 (en) * | 2012-11-16 | 2017-02-28 | Koninklijke Philips N.V. | Biometric system with body coupled communication interface |
US9065593B2 (en) * | 2012-11-16 | 2015-06-23 | Nuance Communications, Inc. | Securing speech recognition data |
US9131369B2 (en) | 2013-01-24 | 2015-09-08 | Nuance Communications, Inc. | Protection of private information in a client/server automatic speech recognition system |
US9514740B2 (en) | 2013-03-13 | 2016-12-06 | Nuance Communications, Inc. | Data shredding for speech recognition language model training under data retention restrictions |
US9514741B2 (en) | 2013-03-13 | 2016-12-06 | Nuance Communications, Inc. | Data shredding for speech recognition acoustic model training under data retention restrictions |
US9342557B2 (en) | 2013-03-13 | 2016-05-17 | Cloudera, Inc. | Low latency query engine for Apache Hadoop |
US9275208B2 (en) * | 2013-03-18 | 2016-03-01 | Ford Global Technologies, Llc | System for vehicular biometric access and personalization |
US20160125416A1 (en) * | 2013-05-08 | 2016-05-05 | Acuity Systems, Inc. | Authentication system |
US20140343943A1 (en) * | 2013-05-14 | 2014-11-20 | Saudi Arabian Oil Company | Systems, Computer Medium and Computer-Implemented Methods for Authenticating Users Using Voice Streams |
CN104158791A (zh) * | 2013-05-14 | 2014-11-19 | 北大方正集团有限公司 | 一种分布式环境下的安全通信认证方法及*** |
US9515996B1 (en) * | 2013-06-28 | 2016-12-06 | EMC IP Holding Company LLC | Distributed password-based authentication in a public key cryptography authentication system |
EP3047601B1 (en) | 2013-09-19 | 2019-07-10 | Intel Corporation | Technologies for synchronizing and restoring reference templates |
US9934382B2 (en) | 2013-10-28 | 2018-04-03 | Cloudera, Inc. | Virtual machine image encryption |
CN103607282B (zh) * | 2013-11-22 | 2017-03-15 | 成都卫士通信息产业股份有限公司 | 一种基于生物特征的身份融合认证方法 |
CN106576041A (zh) * | 2014-06-27 | 2017-04-19 | 林建华 | 客户端与服务器之间相互验证的方法 |
US10454913B2 (en) | 2014-07-24 | 2019-10-22 | Hewlett Packard Enterprise Development Lp | Device authentication agent |
US10122703B2 (en) | 2014-09-30 | 2018-11-06 | Citrix Systems, Inc. | Federated full domain logon |
US10841316B2 (en) | 2014-09-30 | 2020-11-17 | Citrix Systems, Inc. | Dynamic access control to network resources using federated full domain logon |
US9735968B2 (en) * | 2014-10-20 | 2017-08-15 | Microsoft Technology Licensing, Llc | Trust service for a client device |
FR3027753B1 (fr) * | 2014-10-28 | 2021-07-09 | Morpho | Procede d'authentification d'un utilisateur detenant un certificat biometrique |
RU2610696C2 (ru) * | 2015-06-05 | 2017-02-14 | Закрытое акционерное общество "Лаборатория Касперского" | Система и способ аутентификации пользователя при помощи электронной цифровой подписи пользователя |
US10944738B2 (en) * | 2015-06-15 | 2021-03-09 | Airwatch, Llc. | Single sign-on for managed mobile devices using kerberos |
US11057364B2 (en) * | 2015-06-15 | 2021-07-06 | Airwatch Llc | Single sign-on for managed mobile devices |
US10171447B2 (en) | 2015-06-15 | 2019-01-01 | Airwatch Llc | Single sign-on for unmanaged mobile devices |
US10812464B2 (en) * | 2015-06-15 | 2020-10-20 | Airwatch Llc | Single sign-on for managed mobile devices |
US10034174B1 (en) * | 2015-12-21 | 2018-07-24 | United Services Automobile Association (Usaa) | Systems and methods for authenticating a caller using biometric authentication |
CN105989495A (zh) * | 2016-03-07 | 2016-10-05 | 李明 | 一种支付方法及*** |
CN105938526A (zh) * | 2016-03-07 | 2016-09-14 | 李明 | 一种身份认证方法及*** |
CN107294721B (zh) | 2016-03-30 | 2019-06-18 | 阿里巴巴集团控股有限公司 | 基于生物特征的身份注册、认证的方法和装置 |
RU2616154C1 (ru) * | 2016-06-09 | 2017-04-12 | Максим Вячеславович Бурико | Средство, способ и система для осуществления транзакций |
KR20180013524A (ko) * | 2016-07-29 | 2018-02-07 | 삼성전자주식회사 | 전자 장치 및 전자 장치의 생체 정보 인증 방법 |
US10325081B2 (en) * | 2016-08-18 | 2019-06-18 | Hrb Innovations, Inc. | Online identity scoring |
US20180083955A1 (en) * | 2016-09-19 | 2018-03-22 | Ebay Inc. | Multi-session authentication |
US10277400B1 (en) * | 2016-10-20 | 2019-04-30 | Wells Fargo Bank, N.A. | Biometric electronic signature tokens |
US10972456B2 (en) * | 2016-11-04 | 2021-04-06 | Microsoft Technology Licensing, Llc | IoT device authentication |
US10528725B2 (en) | 2016-11-04 | 2020-01-07 | Microsoft Technology Licensing, Llc | IoT security service |
FR3069078B1 (fr) * | 2017-07-11 | 2020-10-02 | Safran Identity & Security | Procede de controle d'un individu ou d'un groupe d'individus a un point de controle gere par une autorite de controle |
WO2019014775A1 (en) * | 2017-07-21 | 2019-01-24 | Bioconnect Inc. | BIOMETRIC ACCESS SECURITY PLATFORM |
US10637662B2 (en) * | 2017-08-28 | 2020-04-28 | International Business Machines Corporation | Identity verification using biometric data and non-invertible functions via a blockchain |
US11943363B2 (en) | 2017-12-08 | 2024-03-26 | Visa International Service Association | Server-assisted privacy protecting biometric comparison |
US10958640B2 (en) | 2018-02-08 | 2021-03-23 | Citrix Systems, Inc. | Fast smart card login |
GB2574182A (en) * | 2018-03-26 | 2019-12-04 | Ssh Communications Security Oyj | Authentication in a computer network system |
US11109234B2 (en) | 2018-06-15 | 2021-08-31 | Proxy, Inc. | Reader device with sensor streaming data and methods |
US11546728B2 (en) | 2018-06-15 | 2023-01-03 | Proxy, Inc. | Methods and apparatus for presence sensing reporting |
US20200028841A1 (en) | 2018-06-15 | 2020-01-23 | Proxy, Inc. | Method and apparatus for providing multiple user credentials |
US20200036708A1 (en) * | 2018-06-15 | 2020-01-30 | Proxy, Inc. | Biometric credential improvement methods and apparatus |
US11462095B2 (en) | 2018-06-15 | 2022-10-04 | Proxy, Inc. | Facility control methods and apparatus |
EP3674934A1 (en) * | 2018-12-26 | 2020-07-01 | Thales Dis France SA | Biometric acquisition system and method |
CN110190950B (zh) * | 2019-06-11 | 2021-04-27 | 飞天诚信科技股份有限公司 | 一种安全签名的实现方法及装置 |
US11277373B2 (en) | 2019-07-24 | 2022-03-15 | Lookout, Inc. | Security during domain name resolution and browsing |
US11296872B2 (en) * | 2019-11-07 | 2022-04-05 | Micron Technology, Inc. | Delegation of cryptographic key to a memory sub-system |
US11822686B2 (en) * | 2021-08-31 | 2023-11-21 | Mastercard International Incorporated | Systems and methods for use in securing backup data files |
Citations (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2002063847A2 (en) * | 2001-02-06 | 2002-08-15 | Certicom Corp. | Mobile certificate distribution in a public key infrastructure |
US20020184217A1 (en) * | 2001-04-19 | 2002-12-05 | Bisbee Stephen F. | Systems and methods for state-less authentication |
JP2003124926A (ja) * | 2001-10-15 | 2003-04-25 | Hitachi Ltd | 暗号化通信システムにおける認証処理方法及びそのシステム |
JP2003281234A (ja) * | 2001-12-28 | 2003-10-03 | Docomo Communications Laboratories Usa Inc | 異なるアクセス技術を用いるアクセスネットワークが提供するサービスにアクセスするための少額信用貸付証明書 |
JP2005346120A (ja) * | 2002-05-31 | 2005-12-15 | Mitsui & Co Ltd | ネットワークマルチアクセス方法およびネットワークマルチアクセス用の生体情報認証機能を備えた電子デバイス |
JP2006079537A (ja) * | 2004-09-13 | 2006-03-23 | Hitachi Ltd | 生体認証装置、生体認証システム及び方法 |
Family Cites Families (10)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US5944824A (en) * | 1997-04-30 | 1999-08-31 | Mci Communications Corporation | System and method for single sign-on to a plurality of network elements |
US6898577B1 (en) * | 1999-03-18 | 2005-05-24 | Oracle International Corporation | Methods and systems for single sign-on authentication in a multi-vendor e-commerce environment and directory-authenticated bank drafts |
US6564104B2 (en) * | 1999-12-24 | 2003-05-13 | Medtronic, Inc. | Dynamic bandwidth monitor and adjuster for remote communications with a medical device |
US7177849B2 (en) * | 2000-07-13 | 2007-02-13 | International Business Machines Corporation | Method for validating an electronic payment by a credit/debit card |
US7676439B2 (en) * | 2001-06-18 | 2010-03-09 | Daon Holdings Limited | Electronic data vault providing biometrically protected electronic signatures |
US20030140233A1 (en) * | 2002-01-22 | 2003-07-24 | Vipin Samar | Method and apparatus for facilitating low-cost and scalable digital identification authentication |
US7308579B2 (en) * | 2002-03-15 | 2007-12-11 | Noel Abela | Method and system for internationally providing trusted universal identification over a global communications network |
US8296573B2 (en) * | 2004-04-06 | 2012-10-23 | International Business Machines Corporation | System and method for remote self-enrollment in biometric databases |
US7805614B2 (en) * | 2004-04-26 | 2010-09-28 | Northrop Grumman Corporation | Secure local or remote biometric(s) identity and privilege (BIOTOKEN) |
US20060229911A1 (en) * | 2005-02-11 | 2006-10-12 | Medcommons, Inc. | Personal control of healthcare information and related systems, methods, and devices |
-
2006
- 2006-06-27 US US11/477,160 patent/US20100242102A1/en not_active Abandoned
-
2007
- 2007-06-25 CN CNA2007800246724A patent/CN101479987A/zh active Pending
- 2007-06-25 EP EP07872535.5A patent/EP2033359A4/en not_active Withdrawn
- 2007-06-25 AU AU2007345313A patent/AU2007345313B2/en not_active Ceased
- 2007-06-25 JP JP2009518201A patent/JP2010505286A/ja active Pending
- 2007-06-25 KR KR1020087031324A patent/KR20090041365A/ko not_active Application Discontinuation
- 2007-06-25 CA CA002653615A patent/CA2653615A1/en not_active Abandoned
- 2007-06-25 RU RU2008152118/09A patent/RU2434340C2/ru not_active IP Right Cessation
- 2007-06-25 WO PCT/US2007/014718 patent/WO2008091277A2/en active Application Filing
- 2007-06-25 MX MX2008015958A patent/MX2008015958A/es not_active Application Discontinuation
-
2008
- 2008-12-03 NO NO20085023A patent/NO20085023L/no not_active Application Discontinuation
Patent Citations (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2002063847A2 (en) * | 2001-02-06 | 2002-08-15 | Certicom Corp. | Mobile certificate distribution in a public key infrastructure |
US20020184217A1 (en) * | 2001-04-19 | 2002-12-05 | Bisbee Stephen F. | Systems and methods for state-less authentication |
JP2003124926A (ja) * | 2001-10-15 | 2003-04-25 | Hitachi Ltd | 暗号化通信システムにおける認証処理方法及びそのシステム |
JP2003281234A (ja) * | 2001-12-28 | 2003-10-03 | Docomo Communications Laboratories Usa Inc | 異なるアクセス技術を用いるアクセスネットワークが提供するサービスにアクセスするための少額信用貸付証明書 |
JP2005346120A (ja) * | 2002-05-31 | 2005-12-15 | Mitsui & Co Ltd | ネットワークマルチアクセス方法およびネットワークマルチアクセス用の生体情報認証機能を備えた電子デバイス |
JP2006079537A (ja) * | 2004-09-13 | 2006-03-23 | Hitachi Ltd | 生体認証装置、生体認証システム及び方法 |
Cited By (21)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US10706132B2 (en) | 2013-03-22 | 2020-07-07 | Nok Nok Labs, Inc. | System and method for adaptive user authentication |
US10776464B2 (en) | 2013-03-22 | 2020-09-15 | Nok Nok Labs, Inc. | System and method for adaptive application of authentication policies |
US11929997B2 (en) | 2013-03-22 | 2024-03-12 | Nok Nok Labs, Inc. | Advanced authentication techniques and applications |
US10366218B2 (en) | 2013-03-22 | 2019-07-30 | Nok Nok Labs, Inc. | System and method for collecting and utilizing client data for risk assessment during authentication |
US10762181B2 (en) | 2013-03-22 | 2020-09-01 | Nok Nok Labs, Inc. | System and method for user confirmation of online transactions |
US10798087B2 (en) | 2013-10-29 | 2020-10-06 | Nok Nok Labs, Inc. | Apparatus and method for implementing composite authenticators |
JP2017508194A (ja) * | 2013-12-31 | 2017-03-23 | ホヨス ラボス アイピー リミテッド | 生体認証プロトコル標準のためのシステムおよび方法 |
JP2017535837A (ja) * | 2014-09-16 | 2017-11-30 | ノック ノック ラブズ, インコーポレイテッド | 認証サービスをネットワークアーキテクチャ内に統合するためのシステム及び方法 |
US10637853B2 (en) | 2016-08-05 | 2020-04-28 | Nok Nok Labs, Inc. | Authentication techniques including speech and/or lip movement analysis |
US10769635B2 (en) | 2016-08-05 | 2020-09-08 | Nok Nok Labs, Inc. | Authentication techniques including speech and/or lip movement analysis |
JP2018107514A (ja) * | 2016-12-22 | 2018-07-05 | 日本電気株式会社 | 位置情報保証装置、位置情報保証方法、位置情報保証プログラム、および通信システム |
US11868995B2 (en) | 2017-11-27 | 2024-01-09 | Nok Nok Labs, Inc. | Extending a secure key storage for transaction confirmation and cryptocurrency |
US11831409B2 (en) | 2018-01-12 | 2023-11-28 | Nok Nok Labs, Inc. | System and method for binding verifiable claims |
JP2021520013A (ja) * | 2018-08-31 | 2021-08-12 | ワン・コネクト・スマート・テクノロジー・カンパニー・リミテッド・(シェンチェン) | 生理的特徴情報に基づく身分認証方法、装置、システム及び媒体 |
JP7051001B2 (ja) | 2018-08-31 | 2022-04-08 | ワン・コネクト・スマート・テクノロジー・カンパニー・リミテッド・(シェンチェン) | 生理的特徴情報に基づく身分認証方法、装置、システム及び媒体 |
WO2020121459A1 (ja) * | 2018-12-12 | 2020-06-18 | 日本電気株式会社 | 認証システム、クライアントおよびサーバ |
JP7235055B2 (ja) | 2018-12-12 | 2023-03-08 | 日本電気株式会社 | 認証システム、クライアントおよびサーバ |
US11909892B2 (en) | 2018-12-12 | 2024-02-20 | Nec Corporation | Authentication system, client, and server |
JPWO2020121459A1 (ja) * | 2018-12-12 | 2021-10-21 | 日本電気株式会社 | 認証システム、クライアントおよびサーバ |
US12041039B2 (en) | 2019-02-28 | 2024-07-16 | Nok Nok Labs, Inc. | System and method for endorsing a new authenticator |
US11792024B2 (en) | 2019-03-29 | 2023-10-17 | Nok Nok Labs, Inc. | System and method for efficient challenge-response authentication |
Also Published As
Publication number | Publication date |
---|---|
NO20085023L (no) | 2008-12-12 |
WO2008091277A2 (en) | 2008-07-31 |
WO2008091277A3 (en) | 2008-12-18 |
AU2007345313B2 (en) | 2010-12-16 |
RU2434340C2 (ru) | 2011-11-20 |
KR20090041365A (ko) | 2009-04-28 |
US20100242102A1 (en) | 2010-09-23 |
AU2007345313A1 (en) | 2008-07-31 |
CN101479987A (zh) | 2009-07-08 |
RU2008152118A (ru) | 2010-07-10 |
EP2033359A4 (en) | 2017-05-31 |
EP2033359A2 (en) | 2009-03-11 |
MX2008015958A (es) | 2009-03-06 |
CA2653615A1 (en) | 2008-07-31 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
AU2007345313B2 (en) | Biometric credential verification framework | |
US11722301B2 (en) | Blockchain ID connect | |
JP4907895B2 (ja) | プライベートデータを露出せずに通信ネットワークを介してパスワードで保護されたプライベートデータを回復する方法およびシステム | |
RU2638741C2 (ru) | Способ и система аутентификации пользователя посредством мобильного устройства с применением сертификатов | |
RU2297037C2 (ru) | Управление защищенной линией связи в динамических сетях | |
CN111316267B (zh) | 使用委托身份的认证 | |
JP4600851B2 (ja) | コンピュータシステム間でメッセージを通信するための安全なコンテキストの確立 | |
CN101027676B (zh) | 用于可控认证的个人符记和方法 | |
US9544297B2 (en) | Method for secured data processing | |
JP5570610B2 (ja) | 遠隔ユーザ・セッションのためのシングル・サインオン | |
US8438383B2 (en) | User authentication system | |
US20020144119A1 (en) | Method and system for network single sign-on using a public key certificate and an associated attribute certificate | |
TW201507430A (zh) | 使用綁定符記的認證及授權 | |
JP2006340178A (ja) | 属性証明書検証方法及び装置 | |
CN114008968A (zh) | 用于计算环境中的许可授权的***、方法和存储介质 | |
CN114301617A (zh) | 多云应用网关的身份认证方法、装置、计算机设备及介质 | |
CN114760070A (zh) | 数字证书颁发方法、数字证书颁发中心和可读存储介质 | |
JP2010086175A (ja) | リモートアクセス管理システム及び方法 | |
CN116112242B (zh) | 面向电力调控***的统一安全认证方法及*** | |
JP6983685B2 (ja) | 情報処理システム、クライアント装置、認証認可サーバー、制御方法とそのプログラム | |
Ahn et al. | Towards scalable authentication in health services | |
CN113918984A (zh) | 基于区块链的应用访问方法及***、存储介质、电子设备 | |
KR20240075095A (ko) | 토큰 프로세스 기반 블록체인을 이용한 제로 트러스트 네트워크의 인증 시스템 및 인증 방법 | |
CN113987461A (zh) | 身份认证方法、装置和电子设备 | |
JP2024010700A (ja) | 証明書発行サーバを備えるネットワークシステムおよび証明書発行方法 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20100527 |
|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20100527 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20120828 |
|
A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20130222 |