特許 5676064 フィルタを用いるセキュアなマルチパーティ計算によるバイオメトリック認証

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】5676064

(24)【登録日】2015年1月9日

(45)【発行日】2015年2月25日

(54)【発明の名称】フィルタを用いるセキュアなマルチパーティ計算によるバイオメトリック認証

(51)【国際特許分類】

   H04L 9/32 20060101AFI20150205BHJP

   H04L 9/30 20060101ALI20150205BHJP

   G09C 1/00 20060101ALI20150205BHJP

【ＦＩ】

   H04L9/00 675D

   H04L9/00 663Z

   G09C1/00 660D

【請求項の数】16

【全頁数】26

(21)【出願番号】特願2014-548034(P2014-548034)

(86)(22)【出願日】2012年12月20日

(86)【国際出願番号】EP2012076492

(87)【国際公開番号】WO2013092916

(87)【国際公開日】20130627

【審査請求日】2014年11月11日

(31)【優先権主張番号】1162058

(32)【優先日】2011年12月20日

(33)【優先権主張国】FR

【早期審査対象出願】

(73)【特許権者】

【識別番号】513234488

【氏名又は名称】モルフォ

(74)【代理人】

【識別番号】100110423

【弁理士】

【氏名又は名称】曾我 道治

(74)【代理人】

【識別番号】100111648

【弁理士】

【氏名又は名称】梶並 順

(74)【代理人】

【識別番号】100147500

【弁理士】

【氏名又は名称】田口 雅啓

(74)【代理人】

【識別番号】100166235

【弁理士】

【氏名又は名称】大井 一郎

(74)【代理人】

【識別番号】100179914

【弁理士】

【氏名又は名称】光永 和宏

(74)【代理人】

【識別番号】100179936

【弁理士】

【氏名又は名称】渡邊 明日香

(72)【発明者】

【氏名】ペティー、アラン

(72)【発明者】

【氏名】シャバンヌ、エルヴェ

(72)【発明者】

【氏名】ブリンガー、ジュリアン

(72)【発明者】

【氏名】ファーブル、メラニー

【審査官】 青木 重徳

(56)【参考文献】

【文献】 国際公開第２０１１／０５２０５６（ＷＯ，Ａ１）

【文献】 高橋 健太、比良田 真史、三村 昌弘、手塚 悟，“セキュアなリモート生体認証プロトコルの提案”，情報処理学会論文誌 ［ＣＤ−ＲＯＭ］，日本，社団法人情報処理学会，２００８年 ９月１５日，Ｖｏｌ．４９、Ｎｏ．９ ，ｐ．３０１６−３０２７

【文献】 千田 浩司、山本 剛，“バッチ処理による秘匿回路計算の高速化”，電子情報通信学会技術研究報告，日本，社団法人電子情報通信学会，２００６年 ７月１３日，Ｖｏｌ．１０６、Ｎｏ．１７５，ｐ．１２５−１３２

【文献】 伊藤 隆、鶴丸 豊広、米田 健，“マルチパーディプロトコルを用いた生体情報秘匿型生体認証方式”，２００６年暗号と情報セキュリティシンポジウム，日本，２００６年暗号と情報セキュリティシンポジウム実行委員会事務局，２００６年 １月１７日，２Ｄ３−１

【文献】 千田 浩司、五十嵐 大、柴田 賢介、山本 太郎、高橋 克巳，“秘匿回路計算の高効率化と機密情報の安全な活用について”，情報処理学会論文誌 ［ＣＤ−ＲＯＭ］，日本，一般社団法人情報処理学会，２０１１年 ６月１５日，Ｖｏｌ．５２、Ｎｏ．６，ｐ．１９９３−２００８

【文献】 Julien Bringer, Herve Chabanne, David Pointcheval, and Qiang Tang，“Extended Private Information Retrieval and Its Application in Biometrics Authentications”，LNCS, Cryptology and Network Security，米国，Springer，２００７年１２月，Vol.4856，pp.175-193

【文献】 Yehuda Lindell, Benny Pinkas，“A Proof of Yao's Protocol for Secure Two-Party Computation”，Cryptology ePrint Archive: Report 2004/175，[online]，２００４年 ７月２３日，Version: 20040723:034745，p.1-21，[retrieved on 2014-12-01]. Retrieved from the Internet，ＵＲＬ，<https://eprint.iacr.org/eprint-bin/getfile.pl?entry=2004/175&version=20040723:034745&file=175.pdf>

【文献】 Moni Naor, Benny Pinkas, Reuben Sumner，“Privacy Preserving Auctions and Mechanism Design”，Proceedings of the 1st ACM conference on Electronic commerce (EC '99)，[online]，１９９９年，p.129-139，[retrieved on 2014-12-01]. Retrieved from the Internet，ＵＲＬ，<http://delivery.acm.org/10.1145/340000/337028/p129-naor.pdf?ip=61.202.255.157&id=337028&acc=ACTIVE%20SERVICE&key=61DAABF003F53B51.61DAABF003F53B51.4D4702B0C3E38B35.4D4702B0C3E38B35&CFID=461547579&CFTOKEN=52978345&__acm__=1418039860_7864854d208af66d>

【文献】 Julien Bringer, Melanie Favre, Herve Chabanne, Alain Patey，“Faster Secure Computation for Biometric Identification Using Filtering”，2012 5th IAPR International Conference on Biometrics Compendium，米国，IEEE，２０１２年 ３月２９日，p.257-264

【文献】 Julien Bringer, Herve Chabanne, and Alain Patey，“SHADE: Secure HAmming DistancE comoutation from oblivious transfer”，Cryptology ePrint Archive: Report 2012/586，[online]，２０１２年１０月１６日，Version: 20121016:133630，[retrieved on 2014-12-01]. Retrieved from the Internet，ＵＲＬ，<https://eprint.iacr.org/2012/586.pdf>

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ ９／３２

Ｇ０９Ｃ １／００

Ｈ０４Ｌ ９／３０

ＪＳＴＰｌｕｓ／ＪＭＥＤＰｌｕｓ／ＪＳＴ７５８０（ＪＤｒｅａｍＩＩＩ）

ＩＥＥＥ Ｘｐｌｏｒｅ

(57)【特許請求の範囲】

【請求項1】

個人又は物体（Ｉ）の認証プロセスであって、
システムは、前記認証される個人（Ｉ）又は物体のデータ（ｂ）を取得するように構成される制御サーバ（ＳＣ）と、Ｎ人の記憶された個人のＮ個のインデックス付き基準データ（ｂ_ｉ）を含むデータベース（ＤＢ）の管理サーバ（ＳＧ）とを備え、前記個人（Ｉ）の前記データ（ｂ）及び前記基準データ（ｂ_ｉ）は、ｎビットで符号化され、
前記個人又は物体（Ｉ）を認証するために、該個人又は物体（Ｉ）の前記データ（ｂ）が、前記ベースの前記Ｎ個のデータ（ｂ_ｉ）のそれぞれと比較されて、該認証される個人又は物体（Ｉ）の前記データ（ｂ）が前記Ｎ人の記憶された個人の前記Ｎ個の基準データ（ｂ_ｉ）のうちの１つに対応するか否かが判断され、
当該プロセスは、前記制御サーバ（ＳＣ）が前記認証される個人又は物体の前記データ（ｂ）を取得する（１００）ステップを含み、
当該プロセスは、
− 前記制御サーバ（ＳＣ）及び前記管理サーバ（ＳＧ）が、前記ベースの前記基準データ（ｂ_ｉ）及び前記認証される個人又は物体（Ｉ）の前記データ（ｂ）を、より小さなサイズの簡略化データ（ｓ_ｉ，ｓ）に変換する（２１０）ステップであって、該簡略化データ（ｓ_ｉ，ｓ）はｔビットで符号化され、ｔはｎ未満であるステップと、
− 前記制御サーバ（ＳＣ）が、前記データベース（ＤＢ）の前記Ｎ個の簡略化データ（ｓ_ｉ）のそれぞれと、前記認証される個人又は物体（Ｉ）の前記簡略化データ（ｓ）との間でセキュアに、前記認証される個人又は物体（Ｉ）の前記簡略化データ（ｓ）と最も多くの類似点を有する前記ベース（ＤＢ）の前記簡略化データ

【数1】

の一組のｐ個のインデックス（ｉ_０，．．．，ｉ_ｐ−１）を求める（２００）ステップであって、ｐはＮ未満であり、前記一組は、前記管理サーバ（ＳＧ）が評価対象の関数のガーブル計算回路を生成する（２２０）、セキュアなマルチパーティ計算の方法を実行することによって求められ、
・ 前記ガーブル回路は、入力として、前記ベース（ＤＢ）の簡略化データ

【数2】

のビット及び前記個人（Ｉ）の前記簡略化データ（ｓ）のビットの一組の暗号鍵を有し、
・ 前記評価対象の関数は、前記ベース（ＤＢ）の前記簡略化データ

【数3】

と前記個人（Ｉ）の前記簡略化データ（ｓ）との間の前記類似率を計算するものであり、その後に、前記個人の前記簡略化データ（ｓ）と最も多くの類似点を有する前記ベースの前記ｐ個の簡略化データの探索ステップが続き、前記回路の評価は、前記個人の前記簡略化データ（ｓ）と最も多くの類似点を有する前記簡略化データ

【数4】

のインデックス（ｉ_０，．．．，ｉ_ｐ−１）を見つけることを可能にする、
ステップと、
− 前記管理サーバ（ＳＧ）が、前記データベース（ＤＢ）の前記Ｎ個の基準データ（ｂ_ｉ）をスクランブルし（３２０）、事前に識別された前記簡略化データ

【数5】

に対応するｐ個のスクランブルされたデータ

【数6】

を前記制御サーバに転送するステップと、
− 前記制御サーバ（ＳＣ）が、前記ｐ個のスクランブルされたデータ

【数7】

から、該ｐ個のスクランブルされたデータ

【数8】

のそれぞれと、前記個人又は物体の前記データ（ｂ）との間のセキュアなマルチパーティ計算によって、対応する基準データ

【数9】

）が前記個人又は物体の前記データ（ｂ）との所定の閾値（η）を超える類似率を有する、１つ又は複数のスクランブルされたデータ

【数10】

の単数又は複数のインデックス（ｉ_ＩＤ）を求める（３００）ステップと
を更に含むことを特徴とする、個人又は物体の認証プロセス。

【請求項2】

前記管理サーバ（ＳＧ）から前記制御サーバ（ＳＣ）への前記ｐ個のスクランブルされたデータ

【数11】

の転送は、紛失通信技法を用いる、請求項１に記載の認証プロセス。

【請求項3】

前記制御サーバ（ＳＣ）が、対応する基準データ

【数12】

が、前記個人（Ｉ）又は物体の前記データ（ｂ）との所定の閾値（η）を超える類似率を有する、スクランブルされたデータ

【数13】

の単数又は複数のインデックス（ｉ_ＩＤ）を求めた後、
前記制御サーバ（ＳＣ）は、前記インデックス（ｉ_ＩＤ）を前記管理サーバ（ＳＧ）に通信し（４００）、
前記管理サーバ（ＳＧ）は、前記単数又は複数のインデックス（ｉ_ＩＤ）から、該単数又は複数のインデックスに対応する前記ベースの単数又は複数の基準データ

【数14】

を求め、前記個人（ｉ）又は物体を、前記単数又は複数のインデックス（ｉ_ＩＤ）に対応する前記基準データ

【数15】

を有する、前記ベース（ＤＢ）に記憶された個人又は物体として認証する、請求項１に記載の認証プロセス。

【請求項4】

前記管理サーバ（ＳＧ）は、前記ベース（ＤＢ）の前記Ｎ個のデータ（ｂ_ｉ）をスクランブルするために、選択された前記簡略化データ

【数16】

に対応する前記ｐ個の基準データ

【数17】

のそれぞれについて、前記対応するデータ（ｂ_ｉ）のバイナリ表現におけるビットの可能な位置（ｕ）ごとに、ランダム置換

【数18】

が該位置（ｕ）のビットに適用されるＮ個のスクランブルされたデータ（ｂ’_ｉ）を含む対応するスクランブルされたデータベース

【数19】

を生成する、請求項１に記載の認証プロセス。

【請求項5】

前記認証は個人に関するものであり、前記ベース（ＤＢ）の前記基準データ（ｂ_ｉ）及び前記認証される個人（Ｉ）の前記データ（ｂ）はバイオメトリックデータである、請求項１に記載の認証プロセス。

【請求項6】

前記バイオメトリックデータ（ｂ，ｂ_ｉ）は、虹彩画像のバイナリ符号である、請求項５に記載の認証プロセス。

【請求項7】

各データ（ｂ，ｂ_ｉ）は、一組のインデックス付けされたビットを含み、
前記データ（ｂ，ｂ_ｉ）から簡略化データ（ｓ，ｓ_ｉ）への変換ステップ（２１０）において、該データ（ｂ，ｂ）のビットのインデックス番号を含むインデックス集合（Ａ）が定義され、
前記データ（ｂ，ｂ_ｉ）は、前記インデックス集合の番号によってインデックス付けされたビットのみを保持することによって、前記簡略化データ（ｓ，ｓｉ）に変換され、
前記インデックス番号は、最も適切なビットに関係するように選択される、請求項１に記載の認証プロセス。

【請求項8】

前記個人（Ｉ）又は物体の前記簡略化データ（ｓ）と最も多くの類似点を有する前記ベース（ＤＢ）の簡略化データ（ｓ_ｉ）を求めるステップは、前記ベース（ＤＢ）の前記簡略化データ（ｓ_ｉ）と前記個人の前記簡略化データ（ｓ）との間のハミング距離の計算によって実行される、請求項７に記載の認証プロセス。

【請求項9】

前記認証される個人（Ｉ）の前記簡略化データ（ｓ）と最も多くの類似点を有する前記ベース（ＤＢ）のＮ個の簡略化データ（ｓ_ｉ）を求めるステップは、セキュアなマルチパーティ計算によって実行される、請求項１に記載の認証プロセス。

【請求項10】

前記ベース（ＤＢ）の前記スクランブルされたデータ

【数20】

と前記個人の前記データ（ｂ）との間の前記セキュアなマルチパーティ計算のステップにおいて、
− 各スクランブルされたデータ

【数21】

に対応する前記ベースの各データ

【数22】

と前記個人の前記データ（ｂ）との間の類似率が計算され、
− 得られた類似率は前記所定の閾値（η）と比較され、該閾値（η）を超える類似率を有する前記ベース（ＤＢ）の単数又は複数のデータの単数又は複数のインデックスが選択される、請求項１〜９のいずれか一項に記載の認証プロセス。

【請求項11】

セキュアなマルチパーティ計算の各ステップは、以下の部分ステップ、すなわち、
− 前記管理サーバ（ＳＧ）が、評価対象の関数（ｆ）の計算をするための少なくとも１つのガーブル回路（Ｃ）を生成する部分ステップであって、
各ガーブル回路（Ｃ）は、入力として前記評価対象の関数（ｆ）の入力データのビットに対応する一組の暗号鍵を有し、出力として前記評価対象の関数（ｆ）の結果のビットに対応する暗号鍵を有し、
・ 要素論理演算の形式に分解された前記関数（ｆ）の計算ステップと、
・ 各要素論理演算の可能な入力及び出力のそれぞれの一組の符号化鍵（ｋ）と
を含む、部分ステップと、
− 前記管理サーバ（ＳＧ）が前記符号化鍵（ｋ）をランダムに生成する部分ステップと、
− 前記管理サーバ（ＳＧ）が、各ガーブル回路（Ｃ）について、
・ 前記評価対象の関数（ｆ）の入力ビットの値に対応する符号化鍵（ｋ）と、
・ 各ガーブル回路（Ｃ）の出力又は各ガーブル回路の論理演算の１つ若しくは複数の出力の復号表（Ｔ）と
を、紛失通信技法を用いて前記制御サーバ（ＳＣ）に通信する部分ステップと、
− 前記制御サーバ（ＳＣ）が、得られた鍵（ｋ）から、該得られた鍵を入力として用いて各ガーブル回路（Ｃ）を評価する部分ステップと
を含む、請求項１〜１０のいずれか一項に記載のプロセス。

【請求項12】

前記スクランブルされたデータ

【数23】

に対応するデータ

【数24】

と、前記個人の前記データ（ｂ）との間の類似率を計算して比較するように、セキュアなマルチパーティ計算が行われ、
前記管理サーバ（ＳＧ）は、前記選択されたベースの各データについて、対応するガーブル回路を生成し（３１０）、
− 各ガーブル回路（Ｃ_０．．．Ｃ_ｐ−１）の入力は、前記対応するスクランブルされたデータ

【数25】

の暗号鍵及び前記個人（Ｉ）の前記データ（ｂ）の暗号鍵であり、
− 各ガーブル回路の前記評価対象の関数（ｆ）は、前記対応するベースのデータ

【数26】

と前記個人の前記データ（ｂ）との間の類似率を計算し、該類似率を前記所定の閾値（η）と比較するものであり、
− 各回路（Ｃ_０．．．Ｃ_ｐ−１）の出力は、前記類似率を前記所定の閾値（η）と比較した結果であり、
前記管理サーバ（ＳＧ）は、各ガーブル回路（Ｃ_０．．．Ｃ_ｐ−１）について、前記スクランブルされたデータ

【数27】

のビットの可能な値に対応するスクランブルされた符号化鍵（ｋ’）と、前記個人のデータ（ｂ）のビットの可能な値に対応する符号化鍵（ｋ）とを生成して前記制御サーバ（ＳＣ）に転送し、また前記スクランブルされたデータのビットの値を前記制御サーバ（ＳＣ）に転送し、
前記スクランブルされたデータのビットの値及び前記対応する符号化鍵の転送は、紛失通信方法を実行する、請求項１１に記載の認証プロセス。

【請求項13】

各ガーブル回路（Ｃ_０．．．Ｃ_ｐ−１）の前記評価対象の関数（ｆ）は、前記スクランブルされたデータ

【数28】

に対応する各データ

【数29】

と前記個人（Ｉ）の前記データ（ｂ）との間の正規化されたハミング距離の計算を含む、請求項１２に記載の認証プロセス。

【請求項14】

スクランブルされたデータ

【数30】

の符号化鍵（ｋ’）の生成は、前記ベースの対応するデータ

【数31】

のビットごとにランダムに生成される符号化鍵（ｋ）に対して、前記スクランブルされたデータ

【数32】

を得るために前記データ

【数33】

のビットに適用されたものと同じ置換

【数34】

に従った再インデックス付けを適用することによって実行される、請求項４に従属する場合の請求項１１又は請求項１２のいずれか一項に記載の認証プロセス。

【請求項15】

前記ベース（ＤＢ）の前記データ（ｂ_０．．．ｂ_Ｎ−１）が前記管理サーバ（ＳＧ）によってランダムに再インデックス付けされる予備ステップ（１０）を含む、請求項１に記載の認証プロセス。

【請求項16】

認証される個人（Ｉ）の少なくとも１つの制御サーバ（ＳＣ）と、記憶された個人のＮ個の基準データ（ｂ_０．．．ｂ_Ｎ−１）のベース（ＤＢ）の少なくとも１つの管理サーバ（ＳＧ）とを備える、個人の認証システムであって、
前記制御サーバ（ＳＣ）は、前記個人（Ｉ）のデータ（ｂ）の取得を進めるように構成され、
当該システムにおいて、前記制御サーバ（ＳＣ）及び前記管理サーバ（ＳＧ）は、
− 前記ベースの前記基準データ（ｂ_ｉ）及び前記認証される個人又は物体（Ｉ）の前記データ（ｂ）を、より小さなサイズの簡略化データ（ｓ_ｉ，ｓ）に変換すること（２１０）と、
− 前記データベース（ＤＢ）の前記Ｎ個の簡略化データ（ｓ_ｉ）のそれぞれと、前記認証される個人又は物体（Ｉ）の前記簡略化データ（ｓ）との間でセキュアに、前記認証される個人又は物体（Ｉ）の前記簡略化データ（ｓ）と最も多くの類似点を有する前記ベース（ＤＢ）の簡略化データ

【数35】

の一組のｐ個のインデックス（ｉ_０，．．．，ｉ_ｐ−１）を求めることであって（２００）、ｐはＮ未満であり、前記一組は、前記管理サーバ（ＳＧ）が評価対象の関数のガーブル計算回路を生成する（２２０）、セキュアなマルチパーティ計算の方法を実行することによって求められ
・ 前記ガーブル回路は、入力として、前記ベース（ＤＢ）の簡略化データ

【数36】

のビット及び前記個人（Ｉ）の前記簡略化データ（ｓ）のビットの一組の暗号鍵を有し、
・ 前記評価対象の関数は、前記ベース（ＤＢ）の前記簡略化データ

【数37】

と前記個人（Ｉ）の前記簡略化データ（ｓ）との間の前記類似率を計算するものであり、その後に、前記個人の前記簡略化データ（ｓ）と最も多くの類似点を有する前記ベースの前記ｐ個の簡略化データの探索ステップが続き、前記回路の評価は、前記個人の前記簡略化データ（ｓ）と最も多くの類似点を有する前記簡略化データ

【数38】

のインデックス（ｉ_０，．．．，ｉ_ｐ−１）を見つけることを可能にする、
ことと、
− 前記データベース（ＤＢ）の前記Ｎ個の基準データ（ｂ_ｉ）をスクランブルし（３２０）、事前に識別された前記簡略化データ

【数39】

に対応するｐ個のスクランブルされたデータ

【数40】

を前記制御サーバに転送することと、
− 前記ｐ個のスクランブルされたデータ

【数41】

から、該ｐ個のスクランブルされたデータ

【数42】

のそれぞれと、前記個人又は物体の前記データ（ｂ）との間のセキュアなマルチパーティ計算によって、対応する基準データ

【数43】

が、前記個人又は物体の前記データ（ｂ）との所定の閾値（η）を超える類似率を有する、１つ又は複数のスクランブルされたデータ

【数44】

の単数又は複数のインデックス（ｉ_ＩＤ）を求めること（３００）と
を実行するように構成された処理手段を備え、
前記制御サーバ（ＳＣ）は、前記データベース（ＤＢ）に記憶された前記基準データ（ｂ_０．．．ｂ_Ｎ−１）に関する情報を得ることはなく、前記管理サーバ（ＳＧ）は、前記認証される個人（Ｉ）の前記データ（ｂ）に関する情報を得ることはない、ことを特徴とする、個人の認証システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、包括的には個人又は物体の認証に関する。この認証は、認証される個人又は物体のデータを同じ種類の個人又は記憶された物体の一組のデータと比較することによって行われる。これらのデータはベースに記憶されている。

【0002】

本発明は、特に個人のバイオメトリック認証に適用される。個人のバイオメトリック認証において、個人及びデータベースの比較されるデータは、例えば、その人の虹彩、指紋、更には顔の形状に関するバイオメトリック情報である。

【背景技術】

【0003】

多くの認証技法が既に知られている。一般的に、それらの技法では、個人又は物体のデータの取得を担当することができる個人又は物体の制御サーバと、同じ種類のＮ個のデータを含むベースのサーバとが組み合わせて用いられる。

【0004】

制御サーバによって取得された個人又は物体のデータはベースの一組のデータと比較され、ベースの少なくとも１つのデータが取得されたデータに対応するか否かが識別され、その個人又は物体がベースに記憶された個人又は物体として識別される。

【0005】

この分野には、特に個人のバイオメトリック認証の場合には、２つの主な問題がある。

【0006】

第１の問題は、認証プロセスのセキュリティ及び機密性に関連するものである。実際、バイオメトリックデータベースは個人情報を含み、制御サーバはベースのこの情報にアクセスできてはならない。同様に、データベースの管理サーバは、認証される個人に関する情報、特に認証される個人のバイオメトリックデータを収集してはならない。

【0007】

この問題に対応するために、セキュアな計算システムが開発されてきた。特に、数人の参加者の間で計算を行うことからなり、参加者が計算の完了時に計算の結果のみを知るように、各参加者が計算される関数の１つ又は複数のエントリを保持する、セキュアマルチパーティ計算（ＳＭＣ）が知られている。

【0008】

そのようなシステムは、例えば以下に提案されている。
− Z. Erkin、M. Franz、J. Guajardo、S. Katzenbeisser、I. Lagendijk、T. Toft「Privacy-preserving face recognition」（Privacy Enhancing Technologies, 2009）
− A. C.-C. Yao「How to generate and exchange secrets (extended abstract)」（FOCS, 1986）
− A.-R. Sadeghi、T. Schneider、I. Wehrenberg「Efficient privacy-preserving face recognition」（ICISC, 2009）

【0009】

２番目の文献は、「Ｙａｏプロトコル」として知られているセキュアな計算方法を記載している。この方法は以下で説明される。

【0010】

３番目の文献は、このＹａｏプロトコルをバイオメトリック認証の状況で利用する方法を開示している。

【0011】

これらの方法は、相当のセキュリティを比較関数の計算に与える。しかしながら、これらの方法は、時間及び計算能力を最小にするという第２の主な問題には対応していない。

【0012】

実際、全てのバイオメトリックデータにＮ回適用されるセキュアな計算は、計算時間及び交換されるデータの数について、非常に多くのコストを要する。

【発明の概要】

【発明が解決しようとする課題】

【0013】

したがって、バイオメトリックデータから個人をセキュアに認証するとともに、既に提案されている解決策よりも高速にかつ計算能力において安価に認証することが求められている。
J. Bringer等による文献「Extended Private Information Retrieval and Its Application in Biometrics Authentications」（Cryptology and Network Security, Springer Berlin Heidelberg, 08.12.2007）には、ＥＰＩＲと呼ばれるプロトコルが記載されており、当該プロトコルをハミング距離の計算に応用することが述べられている。
M. Blanton等による文献「Secure and Efficient Protocols for Iris and Fingerprint Identification」（International association for cryptologic research, vol. 20110917, Pages 1-25, 17.09.2011）には、ガーバル回路と紛失通信を使用して個人のセキュアな認証を生成することが記載されている。

【課題を解決するための手段】

【0014】

この点で、本発明は、個人又は物体のデータと最も多くの類似点を有するベースのデータを識別する高速かつセキュアなフィルタリングの第１のフェーズと、個人又は物体のデータとの所定の閾値を超える類似率を有する単数又は複数のデータを識別するためのセキュアな計算の第２のステップとを含む、データベースからのデータとの比較による個人又は物体のセキュアな認証プロセスを提案する。

【0015】

高速かつセキュアなフィルタリングの第１のステップは、元のデータに関連する削減されたサイズのデータに対して演算が行われるので、計算時間を相当に短縮する。セキュアな計算の第２のステップは、選択されたデータのみに対して実行され、したがって、元のデータベースのサイズ（Ｎ）よりも少ない数の計算動作を含む。

【0016】

本出願の目的は、個人又は物体の認証プロセスである。システムは、認証される個人又は物体のデータを取得するように構成される制御サーバと、Ｎ人の記憶された個人のＮ個のインデックス付き基準データを含むデータベースの管理サーバとを備える。
個人又は物体を認証するために、個人又は物体のデータが、ベースのＮ個のデータのそれぞれと比較されて、認証される個人又は物体のデータがＮ人の記憶された個人のＮ個の基準データのうちの１つに対応するか否かが判断される。
当該プロセスは、
− 制御サーバが認証される個人又は物体のデータを取得するステップと、
− ベースの基準データ及び認証される個人又は物体のデータが、より小さなサイズの簡略化データに変換されるステップと、
− データベースのＮ個の簡略化データのそれぞれと、認証される個人又は物体の簡略化データとの間でセキュアに、認証される個人又は物体の簡略化データと最も多くの類似点を有するベースの簡略化データの一組のｐ個のインデックスが求められ、ただしｐはＮ未満であるステップと、
− 管理サーバが、データベースのＮ個の基準データをスクランブルし、事前に識別された簡略化データに対応するｐ個のスクランブルされたデータを制御サーバに転送するステップと、
− 制御サーバが、ｐ個のスクランブルされたデータから、当該ｐ個のスクランブルされたデータのそれぞれと、個人又は物体のデータとの間のセキュアなマルチパーティ計算によって、対応する基準データが個人又は物体のデータとの所定の閾値を超える類似率を有する、１つ又は複数のスクランブルされたデータの単数又は複数のインデックスを求めるステップと
を含む。

【0017】

オプションであるが有利には、本発明によるプロセスは、以下の特徴のうちの少なくとも１つを有する。
− 管理サーバから制御サーバへのｐ個のスクランブルされたデータの転送は、紛失通信技法を用いる。
− このプロセスにおいて、制御サーバが、対応する基準データが個人又は物体のデータとの所定の閾値を超える類似率を有する、スクランブルされたデータの単数又は複数のインデックスを求めた後、
制御サーバは、インデックスを管理サーバに通信し、
管理サーバは、単数又は複数のインデックスから、当該単数又は複数のインデックスに対応するベースの単数又は複数の基準データを求め、個人又は物体を、単数又は複数のインデックスに対応する基準データを有する、ベースに記憶された個人又は物体として認証する。
− 管理サーバは、ベースのＮ個のデータをスクランブルするために、選択された簡略化データに対応するｐ個の基準データのそれぞれについて、対応するデータのバイナリ表現におけるビットの可能な位置ごとに、ランダム置換が当該位置のビットに適用されるＮ個のスクランブルされたデータを含む、対応するスクランブルされたデータベースを生成する。
− 認証は個人に関するものであり、ベースの基準データ及び認証される個人のデータはバイオメトリックデータである。
− バイオメトリックデータは、虹彩画像のバイナリ符号である。
− 各データは、一組のインデックス付きビットを含み、
データから簡略化データへの変換ステップにおいて、当該データのビットのインデックス番号を含むインデックス集合が定義され、
データは、インデックス集合の番号によってインデックス付けされたビットのみを保持することによって、簡略化データに変換され、
インデックス番号は、最も適切なビットに関係するように選択される。
− 個人又は物体の簡略化データと最も多くの類似点を有するベースの簡略化データは、ベースの簡略化データと個人の簡略化データとの間のハミング距離の計算によって求められる。
− 認証される個人の簡略化データと最も多くの類似点を有するベースのＮ個の簡略化データを求めるステップは、セキュアなマルチパーティ計算によって実行される。
− ベースのスクランブルされたデータと個人のデータとの間のセキュアなマルチパーティ計算のステップにおいて、
各スクランブルされたデータに対応するベースの各データと個人のデータとの間の類似率が計算され、
得られた類似率は、所定の閾値と比較され、当該閾値を超える類似率を有するベースの単数又は複数のデータの単数又は複数のインデックスが選択される。
− セキュアなマルチパーティ計算の各ステップは、以下の部分ステップ、すなわち、
・ 管理サーバが、評価対象の関数の計算のための少なくとも１つのガーブル回路を生成する部分ステップであって、各ガーブル回路は、入力として評価対象の関数の入力データのビットの一組の暗号鍵を有し、出力として評価対象の関数の結果のビットに対応する暗号鍵を有し、要素論理演算の形式に分解された関数の計算ステップと、各要素論理演算の可能な入力及び出力のそれぞれの一組の符号化鍵と、を含む部分ステップと、
・ 管理サーバが符号化鍵をランダムに生成する部分ステップと、
・ 管理サーバが、各ガーブル回路について、評価対象の関数の入力ビットの値に対応する符号化鍵と、各ガーブル回路の出力又は各ガーブル回路の論理演算の１つ若しくは複数の出力の復号表とを、紛失通信技法を用いて制御サーバに通信する部分ステップと、
・ 制御サーバが、得られた鍵から、当該得られた鍵を入力として用いて各ガーブル回路を評価する部分ステップと
を含む。
− スクランブルされたデータに対応するデータと、個人のデータとの間の類似率を計算して比較するように、セキュアなマルチパーティ計算が行われ、
管理サーバは、選択されたベースの各データについて、対応するガーブル回路を生成し、
・ 各ガーブル回路の入力は、対応するスクランブルされたデータの暗号鍵及び個人のデータの暗号鍵であり、
・ 各ガーブル回路の評価対象の関数は、対応するベースのデータと個人のデータとの間の類似率を計算し、当該類似率を所定の閾値と比較するものであり、
・ 各回路の出力は、類似率を所定の閾値と比較した結果であり、
管理サーバは、各ガーブル回路について、スクランブルされたデータのビットの可能な値に対応するスクランブルされた符号化鍵と、個人のデータのビットの可能な値に対応する符号化鍵とを生成して制御サーバに転送し、またスクランブルされたデータのビットの値を制御サーバに転送し、スクランブルされたデータのビットの値及び対応する符号化鍵の転送は、紛失通信方法を用いる。
− 各ガーブル回路の評価対象の関数は、スクランブルされたデータに対応する各データと個人のデータとの間の正規化されたハミング距離の計算を含む。
− スクランブルされたデータの符号化鍵の生成は、ベースの対応するデータのビットごとにランダムに生成される符号化鍵に対して、スクランブルされたデータを得るためにデータのビットに適用されたものと同じ置換に従った再インデックス付けを適用することによって実行される。
− 認証される個人の簡略化データと最も多くの類似点を有するベースのｐ個の簡略化データを選択するために、管理サーバが、ガーブル計算回路を生成するセキュアなマルチパーティ計算の方法が用いられ、
・ ガーブル回路は、入力として、ベースの簡略化データのビット及び個人の簡略化データのビットの一組の暗号鍵を有し、
・評価対象の関数は、ベースの簡略化データと個人の簡略化データとの間の類似率を計算するものであり、その後に、個人の簡略化データと最も多くの類似点を有するベースのｐ個の簡略化データの探索ステップが続き、回路の評価は、個人の簡略化データと最も多くの類似点を有する簡略化データのインデックスを見つけることを可能にする。
− このプロセスは、ベースのデータが管理サーバによって再インデックス付けされる予備ステップを含む。

【0018】

また、本発明は、認証される個人の少なくとも１つの制御サーバと、記憶された個人のＮ個の基準データのベースの少なくとも１つの管理サーバとを備える、個人の認証システムに関する。
制御サーバは、個人のデータの取得を進めるように構成され、
制御サーバ及び管理サーバは、
− ベースの一組のＮ個の基準データの中から、認証される個人のデータと最も多くの類似点を有するｐ個のデータのセキュアなフィルタリングを行い、
− セキュアな計算を介して、所定の閾値を超える、認証される個人のデータと類似点を有する単数又は複数のデータを識別する、
ように構成された処理手段を備え、
制御サーバは、データベースに記憶された基準データに関する情報を得ることはなく、管理サーバは、認証される個人のデータに関する情報を得ることはない。

【0019】

本発明の他の特徴、目的、及び利点は、非限定的な例として与えられる、添付図に関する以下の詳細な説明から明らかになる。

【図面の簡単な説明】

【0020】

【図1】本発明によるプロセスを実行するように構成されたシステムを概略的に示す図である。

【図2】本発明の一実施形態の主要なステップを示す図である。

【図3】ａは、評価対象の論理「ＡＮＤ」関数の例に関して、本発明によるプロセスにおいて用いられるタイプのガーブル回路を示す図である。ｂからｅは、ガーブル回路の真理値表が論理「ＡＮＤ」関数の真理値表の例に関して暗号化される方法を示す図である。

【図4a】高速フィルタリングステップにおいて用いられる比較関数の一例を示す図である。

【図4b】高速フィルタリングステップにおいて用いられる比較関数の一例を示す図である。

【図4c】高速フィルタリングステップにおいて用いられる比較関数の一例を示す図である。

【図4d】高速フィルタリングステップにおいて用いられる比較関数の一例を示す図である。

【図5】高速フィルタリングステップの一実施形態を示す図である。

【図6】事前にフィルタリングされたデータの比較ステップ及び選択ステップの実行を示す図である。

【発明を実施するための形態】

【0021】

図１を参照すると、個人Ｉ又は物体の認証の一実施形態が概略的に示されている。この認証は、例えばセキュアなサイトへのアクセス制御とすることができる。個人のバイオメトリック認証の非限定的な例が以下に述べられる。

【0022】

データベースＤＢは、例えば、サイトに入ることを認可されているか又は逆にその存在がこのサイト上で禁止されているような、記憶された個人の一組のＮ個のインデックス付きバイオメトリックデータｂ_ｉを含む。ただし、ｉは０〜Ｎ−１である。

【0023】

このデータベースＤＢは、適切なコンピュータプログラムによって実行される計算手段を装備した管理サーバＳＧにリンクされている。

【0024】

個人Ｉは制御サーバＳＣを用いて認証される。この制御サーバも、適切なコンピュータプログラムによって実行される計算手段を装備するとともに、個人に特有のデータ、特にバイオメトリックデータｂの取得及び処理のための手段を備えている。

【0025】

周知のように、データｂは、個人の顔、若しくは指紋、更には虹彩等のバイオメトリック特性のディジタル化されて符号化された画像、又はこれらのデータのうちの幾つかを組み合わせたものに由来することができる。非限定的な例として、個人Ｉの虹彩のディジタル取得の場合が以下に述べられる。

【0026】

また、データｂを個人の身分証明書にディジタル形式で記憶することもできる。

【0027】

個人のデータｂ及びベースのデータｂ_０〜ｂ_Ｎ−１は、比較可能であるように同じ種類でなければならない。特に、それらのデータが含む情報は、同じバイオメトリック特性、本例では虹彩に関するものでなければならない。

【0028】

この場合、データベースＤＢは、虹彩の各データｂ_ｉについて、対応するマスク符号ｍ_ｉも含むことができる。制御サーバは、虹彩の画像ｂに対応するマスク符号ｍを取得することができるか、又はマスク符号ｍを得ることを考慮してデータｂを処理することができる。これらのマスク符号は、虹彩の可視ゾーン、したがって利用可能なゾーンを示す。これらのゾーンは、通常は瞼によってマスクされないゾーンである。

【0029】

マスク符号ｍ及びｍ_ｉは、図１、図５、図６では括弧内に示されている。なぜならば、それらのマスク符号はオプションであり、通常は認証プロセスが虹彩データに基づいて行われる場合にのみ用いられるからである。

【0030】

同様に、制御サーバは、個人Ｉから取得された虹彩の画像から、虹彩の可視部分に対応するマスク符号ｍを生成する。

【0031】

これらのタイプのデータは、一般に多くの情報を含み、通常は２５６オクテット、すなわち２０４８ビットのフォーマットで符号化される。以下、データｂ及びb_ｉのビット数はｎと示される。

【0032】

次に、認証プロセスの一実施形態について、図２を参照して説明する。

【0033】

各認証プロセスの前に、管理サーバＳＧは、制御サーバＳＣが認証の履歴及び認証と当該認証に用いられたバイオメトリックデータとの対応関係に関する情報を記憶することができないように、ベースからの一組のデータｂ_ｉをランダムに再インデックス付けする（ステップ１０）。

【0034】

ステップ１００において、制御サーバＳＣは、個人のデータｂの取得を進める。次に、制御サーバＳＣは、ベースのＮ個のバイオメトリックデータの第１の高速フィルタリングステップ２００を開始し、ｂと最も多くの類似点を有するｐ個のデータを識別する。ｐはＮよりも小さく、サーバＳＣとＳＧによって前もって固定されている。

【0035】

・高速フィルタリング
このステップの計算時間を最小にするために、制御サーバＳＣとデータサーバＳＧは、ステップ２１０において、通常はデータｂ及びｂ_０〜ｂ_Ｎ−１のサイズを削減することによって、これらのデータを簡略化する。

【0036】

例として、データが２０４８ビットで符号化された虹彩画像である場合、サーバＳＣとＳＧは、データのサイズを１２８ビットに削減することができる。これを達成するために、サーバＳＣとＳＧは、集合｛１，．．．，ｎ｝の部分集合であるインデックス集合Ａの要素によってインデックス付けされたデータｂ及びｂ_ｉのビットがデータの上位にくるように、Ａについて合意することができる。Ａの基数はｔで示され、ｔはｎより小さい。上記の例の場合、ｎは２０４８であり、ｔは１２８である。

【0037】

サーバＳＧとＳＣは、Ａによってインデックス付けされたｂ及びｂｉのビットを含む簡略化データｓ及びｓ_ｉを生成し、データｓ及びｓ_ｉはｎの代わりにｔビットでまず符号化される。ただし、ｉは０〜Ｎ−１である。

【0038】

これらの簡略化データを用いると、サーバＳＣとＳＧは、ｓと各ｓ_ｉとの間で、ベースＤＢにおいてｓに最も近いｐ個の簡略化データｓ_ｉを識別するための１：１のＮ個の比較演算を実行することができる。ただし、ｉは０〜Ｎ−１である。バイオメトリックデータの比較の数学関数は、当業者によって知られている。

【0039】

データが虹彩画像である場合、例えば、ｓと各ｓ_ｉとの間のハミング距離Ｄ_ｉを計算することが可能である。ハミング距離は、２つの比較されるデータ間のインコヒーレントなビットの数である。同様のフィルタリング技法は、F. Hao、J. Daugman、P. Zielinski「A fast search algorithm for a large fuzzy database」（IEEE Transactions on Information Forensics and Security, 3(2), 2008）という文献に記載されている。

【0040】

この場合、ｓに最も近いｐ個のデータは、ｓからの最小のハミング距離を有するｐ個のデータである。

【0041】

フィルタリングステップはセキュアに行われる。すなわち、サーバＳＧとＳＣが相手方のデータに関する情報（各個人のバイオメトリックデータｂ又はベースのバイオメトリックデータｂ_ｉ）を得ることがないように行われる。

【0042】

そのようにするために、以下の図５に関するフィルタリングステップのセキュア化の説明において説明する、Ｙａｏプロトコルを利用したセキュアなマルチパーティ計算の方法を用いることができる。

【0043】

最初に、Ｙａｏプロトコルにおいて用いられる２つの前提条件である紛失通信及びガーブル回路を説明する必要がある。

【0044】

・紛失通信
Ｙａｏプロトコルは、２つのパーティＰ１とＰ２の間の計算動作である紛失通信を用いる。

【0045】

このタイプの動作では、Ｐ１はＮ個のインデックス付き要素Ｘ_ｉのリストを有している。Ｐ２はこのリストの要素数Ｎを知っており、０〜Ｎ−１の間のインデックスｉを選択する。紛失通信を介して、Ｐ２は、Ｐ１の第ｉ要素、すなわちｉによってインデックス付けされたＰ１の要素を回復する。

【0046】

Ｐ１は、Ｐ２によって回復される要素のインデックスに関する情報を知ることはない。

【0047】

Ｐ２自体は、Ｐ１が保持するリストの他の要素に関する情報を取り出すことはない。

【0048】

・ガーブル回路
また、Ｙａｏプロトコルはガーブル回路を用いる。図３はそのようなガーブル回路の一実施形態を示している。

【0049】

ガーブル回路の図は、図３のａに例として示されているが、手短に言えば、このガーブル回路は、評価対象の関数のベースバイナリ計算回路から得られる暗号化されたバイナリ回路である。この回路は一連の要素論理ゲートに分解される。図３のａに示すバイナリ回路の図は、それぞれバイナリ値０又は１を取ることができる２つの入力ｘ及びｙと、同様にバイナリ値０又は１を取ることができる出力ｚとを備える要素関数「ＡＮＤ」のみを含む。

【0050】

慣例として、各論理ゲートは、出力と入力との間の論理的関連を設定する真理値表を用いて属性を与えられる。論理関数「ＡＮＤ」の真理値表は、図３のｂに例として示されている。

【0051】

この関数の評価のセキュア化を確実にするために、各要素論理ゲートの各可能な入力及び各出力は、ガーブル回路の作成者によって、各入力又は出力に特有の２つの可能なブール値に対応する暗号鍵のランダムな対によって暗号化される。例えば図３のｃでは、ｘが取ることができるバイナリ値０及び１は、対応する鍵ｋ^ｘ_０及びｋ^ｘ_１によって置き換えられ、ｙ及びｚが取る値についても同様である。

【0052】

これによって、入力及び出力のバイナリ値が暗号鍵によって置き換えられた真理値表が生成される。

【0053】

次に、各論理ゲートの出力が、対応する入力の値による暗号鍵によって暗号化され、暗号化された真理値表、すなわち図３のｄのガーブル真理値表が得られる。

【0054】

したがって、例えば関数ＡＮＤの場合、ｚの値０に対応する暗号鍵ｋ^ｚ_０は、ｘ及びｙが１に等しくない全ての場合に現われる。しかしながら、この鍵ｋ^ｚ_０は、ｘ及びｙが取る値に従って同じ方法で暗号化されない。実際、ｘ及びｙがともに０である場合、鍵ｋ^ｚ_０は、鍵ｋ^ｘ_０及びｋ^ｙ_０によって暗号化される。この暗号化された鍵は、

【数1】

と示される。

【0055】

最後に、入力鍵が表から除去され、各出力について得られた鍵が図３のｅのようにランダムに並べ替えられ、その結果得られる暗号化及びスクランブルされた真理値表が、実際にガーブル回路と呼ばれるものである。

【0056】

暗号鍵から回路の関数を評価するために、評価対象の関数の結果の暗号鍵と、ビットの対応する値との間の相関表Ｔが、回路の作成者によって生成される。

【0057】

・Ｙａｏプロトコル
最後に、Ｙａｏプロトコルは、幾つかのパーティが、彼らが有するデータの性質を互いに共有することなく、これらのデータから計算を行うセキュアな計算の方法である。

【0058】

これを達成するために、これらのパーティのうちの１つは、上記で説明したように、評価対象の関数のガーブル計算回路と、この回路の論理ゲートの入力ビット及び出力ビットのそれぞれの暗号鍵の対（バイナリ値０について１つ及びバイナリ値１について１つ）とを作成する。ガーブル回路の作成者は、関数の結果の暗号鍵と結果それ自体とから相関表Ｔも生成する。

【0059】

その後、ガーブル回路の作成者は、ガーブル回路、相関表、及び作成者に属する入力データのビットの暗号鍵を、他のパーティ（又は他の複数のパーティ）に送信する。

【0060】

このように、回路の作成者の０（１）に等しい各入力ビットｘについて、作成者は暗号鍵ｋ^ｘ_０（ｋ^ｘ_１）しか送信しない。これらの鍵はランダムであるので、ガーブル回路の各ユーザは、作成者が保持するデータの対応するビットに関する情報を得ることはできない。

【0061】

また、ガーブル回路の各ユーザは、作成者からの紛失通信によって、彼らが有する関数の入力データのビットに対応する鍵を回復する。

【0062】

したがって、作成者は、ユーザの各入力ビットｙについてｋ^ｙ_０及びｋ^ｙ_１からなる２つの要素を有するリストを準備し、紛失通信用にユーザによって選択されるインデックスは、ビットｙの値である。

【0063】

紛失通信方法に依拠することによって、作成者は回路のユーザのデータのビットの値に関する情報を得ることがなくなる。

【0064】

最後に、ガーブル回路のユーザは、自身が得た鍵によって関数を評価することができ、自身が関数の出力において得た結果を相関表によって変換することができる。オプションとして、ユーザは結果を回路の作成者に送信することもできる。

【0065】

再び高速フィルタリングステップ２００を参照すると、ベースの簡略化されたバイオメトリックデータｓ_ｉのフィルタリングを実行するために、制御サーバＳＣと管理サーバＳＧは、フィルタリング関数のセキュアな計算にＹａｏプロトコルを用いる。フィルタリング関数を構成する要素は図４に示されている。このステップの実行は、図５に図式的に表されている。

【0066】

ステップ２２０において、管理サーバＳＧは、関数ｆを表すガーブル回路Ｃ（図５ではＣ（ｆ）で示されている）を作成する。この回路は、２つのデータ間のハミング距離を計算すること、及び複数のハミング距離を比較してｐ個の最小の距離を識別することの双方を実行する。

【0067】

ハミング距離を計算する関数は、当業者によって知られている。この関数は

【数2】

で示される。

【0068】

このように計算されるハミング距離は、図４ｄに示す論理演算によって互いに比較される。これらの演算は、図４ａ、図４ｂ、及び図４ｃに示す部分関数を含む。

【0069】

図４ａにおいて、関数Ｘ’は、３つの入力ビットｘ_ｉ、ｙ_ｉ、及びｃを備える関数であり、ｃが０である場合には出力（ｘ_ｉ，ｙ_ｉ）を生成し、ｃが１である場合には出力（ｙ_ｉ，ｘ_ｉ）を生成する。この関数Ｘ’は、図４ｂにおいては、その入力が複数の入力ビットｘ_ｉ，ｙ_ｉを含むデータである関数ＭＵＸ’に一般化されている。

【0070】

図４ｃは、「２−１」と呼ばれる比較関数を示している。この比較関数は、入力として、簡略化データs_０及びｓ_１と個人のデータｓとの比較のための、この場合Ｄ_０及びＤ_１で示される２つのハミング距離を有する。この比較関数は、出力において、２つの比較されたものの間の最小ハミング距離を与える。

【0071】

これを行うために、この比較関数は、その出力が連続した関数ＭＵＸ’の入力ｃである（Ｄ_０がＤ_１よりも大きい場合には１であり、そうでない場合には０である）比較関数「＞」を用いる。

【0072】

最後に、図４ｄを参照すると、ハミング距離Ｄ_ｉの一般的な比較関数が、全ての距離がケース「２−１」の連続したレベルにおいて２つ一組で互いに比較され、第１のレベルの最小距離が次のレベルの比較の入力である従来のソート方法を実施している。

【0073】

この論理図の最後において、比較されたＮ個の距離から最小距離Ｄ_ｍｉｎが得られる。この比較ステップはｐ回反復され、各回は先行ステップにおいて識別された最小距離を除外し、最終的にｐ個の最小距離Ｄ_ｉが得られる。

【0074】

ガーブル回路Ｃが生成されると、管理サーバＳＧは、関数ｆの各入力から暗号鍵をそれぞれ作成するとともに、関数ｆの各要素論理演算の出力の暗号鍵をそれぞれ作成する。或る論理演算の出力は、後続の論理演算の入力である。管理サーバは、特に各簡略化データｓ及びｓ_ｉのビットごとに暗号鍵の対を生成する。

【0075】

最後に、管理サーバＳＧは相関表Ｔを生成する。ただし、従来のＹａｏプロトコルとは逆に、この相関表は、評価対象の関数の出力の鍵に関係せず、各演算「２−１」のハミング距離の比較ステップ「＞」からの出力に関係している。

【0076】

管理サーバＳＧは、ガーブル回路Ｃ、相関表Ｔ、及びベースＤＢの簡略化バイオメトリックデータｓ_ｉのビットの暗号鍵を制御サーバＳＣに送信する。これらの暗号鍵は、各データｓ_ｉのビットｕについて、ビットｕの値に応じてｋ^０（ｓ^ｕ_ｉ）又はｋ^１（ｓ^ｕ_ｉ）で示される。この一組の暗号鍵は、図５では、より単純にｋ（ｓ_０），．．．ｋ（ｓ_Ｎ−１）で示されている。

【0077】

また、制御サーバＳＣは、紛失通信によって、個人ｓの簡略化バイオメトリックデータのビットの暗号鍵ｋ（ｓ）を取り出す。

【0078】

ステップ２３０において、制御サーバＳＣは、ガーブル回路Ｃ及び鍵ｋによって、ベースの簡略化データｓ_ｉと個人の簡略化データｓとの間で比較関数を評価することによって、個人のデータｓと最も多くの類似点を有するｐ個のデータｓ_ｉを識別することができる。

【0079】

制御サーバＳＣは、比較ステップ「＞」の出力の鍵の相関表Ｔしか有していない。そのため、制御サーバＳＣが得る結果は、適切な場合には、データに関する情報を制御サーバＳＣに提供する種々のハミング距離の値ではなく、選択されたｐ個のデータｓ_ｉ０．．．ｓ_ｉｐ−１のインデックスである。

【0080】

このフィルタリングステップが完了すると、サーバＳＣは、個人のデータｓとの最小ハミング距離を有するｐ個の簡略化データ｛ｓ_ｉ０，．．．，ｓ_ｉｐ−１｝のインデックスのリスト｛ｉ_０，．．．，ｉ_ｐ−１｝のみを知る。そのため、制御サーバＳＣは、選択された簡略化データ｛ｓ_ｉ０，．．．，ｓ_ｉｐ−１｝に関する情報を知ることはなく、ましてや、対応するベースのデータ｛ｂ_ｉ０，．．．，ｂ_ｉｐ−１｝に関する情報を知ることはない。

【0081】

したがって、管理サーバＳＧは、個人の簡略バイオメトリックデータｓに関する情報を得ることはなく、ましてや、元のデータｂに関する情報を得ることはない。

【0082】

・比較及び選択
比較及び選択のステップ３００は、高速フィルタリングステップ２００において識別された簡略化データ

【数3】

に対応するデータ

【数4】

に対して実行される。ただし、ｊは０〜ｐ−１である。その目的は、個人のバイオメトリックデータに最も近いｐ個の簡略化データから、個人のデータとの類似点が所定の閾値ηを超える１つ又は複数のデータが存在するか否かを判断することである。

【0083】

当業者によって知られているように、この閾値は、誤検出（偽陽性）及び検出漏れ（偽陰性）の最適な比率を有するバイオメトリックデータの対応関係を設定するように選択される。

【0084】

Ｙａｏプロトコルと同様に、管理サーバＳＧは、ステップ３１０において、対応するスクランブルされたデータのみを用いて、ｐ個のガーブル回路Ｃ０．．．Ｃｐ−１を作成する。各ガーブル回路は、事前に選択されたバイオメトリックデータ

【数5】

（ｊは０〜ｐ−１）と、その対応するマスク

【数6】

とを用いて、比較関数ｆ’を評価するのに用いられる。

【0085】

比較及び選択のステップ３００において利用される比較関数ｆ’は、フィルタリング２００に利用される関数ｆとは別個のものである。

【0086】

バイオメトリックデータが虹彩画像である場合、比較関数ｆ’は正規化されたハミング距離とすることができる。正規化されたハミング距離とは、２０４８ビット符号で計算され、虹彩画像に関連付けられたマスク、すなわち通常は瞼によってマスクされて比較には関係しない虹彩のゾーンを示す符号を考慮に入れたハミング距離である。

【0087】

正規化されたハミング距離に関するより多くの情報を得るためには、J. Daugman「How Iris Recognition Works」（IEEE transactions on circuits and systems for video technology, Vol. 14, No. 1, JANUARY 2004）という文献に記載されているＤａｕｇｍａｎ法を参照することができる。

【0088】

Ｘ及びＹが２０４８ビットで符号化された２つの虹彩画像を示し、ｍ（Ｘ）及びｍ（Ｙ）がそれらの虹彩画像に関連付けられたマスクを示す場合、正規化されたハミング距離は、

【数7】

となる。

【0089】

したがって、このステップの目的は、高速フィルタリングステップにおいて事前に選択された全てのデータ

【数8】

について、

【数9】

を計算し、

【数10】

となるデータを保持することである。ここで、εはハミング距離の比較のための所定の閾値である。もちろん、比較結果が超えなければならない類似閾値ηは、ハミング距離の計算による比較の場合の閾値εと反比例する。なぜならば、後者の閾値は、データ間の類似点ではなく相違点を数え上げるからである。

【0090】

計算を最適化するために、回路Ｃ_ｊは、好ましくは

【数11】

ではなく、比較

【数12】

を行うように構築される。ただし、ｊは０〜ｐ−１である。

【0091】

管理サーバＳＧは、各回路Ｃｊについて、各論理ゲートの入力及び出力の暗号鍵ｋ、並びに関数の出力鍵の相関表Ｔを生成する。特に、各論理ゲートの入力及び出力の暗号鍵ｋは、評価対象の関数の各入力ビット、すなわちデータｂ及びベースのデータｂｉの各入力ビットの暗号鍵の対を含む。

【0092】

管理サーバＳＧは、ガーブル回路Ｃ_ｊと、これらの回路のそれぞれの相関表Ｔ_ｊとを制御サーバＳＣに送信する。

【0093】

制御サーバＳＣは、紛失通信によって、各ガーブル回路について、個人Ｉのバイオメトリックデータｂのビットの暗号鍵を取り出す。

【0094】

最後に、制御サーバＳＣは、選択されたベースのデータ

【数13】

の値と、対応する鍵とを、これらのデータに関する情報を知ることなくそれらの値を個人のデータｂと比較することができるように取り出さなければならない。

【0095】

これを行うために、管理サーバＳＧは、ステップ３２０において、一組のデータｂ_ｉをまずスクランブルし、スクランブルされたデータｂ’_ｉを得る。

【0096】

より正確には、管理サーバＳＧは、選択された簡略化データ

【数14】

に対応するｐ個の基準データ

【数15】

のそれぞれについて、またこのデータのバイナリ表現におけるビットの各可能な位置ｕについて、｛０，１｝のランダム置換

【数16】

を生成し、このランダム置換

【数17】

をベースのＮ個のデータｂ_ｉのそれぞれの位置ｕのビットに適用して、ベースの初期データ（ｂｉ）に対応するスクランブルされたデータのｐ個のベースを作成する。これらのベースは、

【数18】

で示すことができる。ここで、任意のｕ：１〜ｎ及び任意のｋ：０〜Ｎ−１について、

【数19】

となる。

【0097】

｛０，１｝置換は、データｂ_ｉのビットについて、ビット（１，０）のバイナリ値をそれらの逆の（０，１）に変換するか又はビットの値を維持するかの２つの結果のみを有することができる。

【0098】

同様に、管理サーバは、マスクｍ_ｉをスクランブルして、スクランブルされたマスクｍ’_ｉを作成することができる。

【0099】

制御サーバＳＣは、紛失通信を通じて、スクランブルされたデータ

【数20】

すなわち、インデックスｉ_ｊのそれぞれの置換によってスクランブルされたインデックスｉ_ｊのデータを取り出す。ただし、ｊは０〜ｐ−１である。選択されたデータ

【数21】

に対応するスクランブルされたデータは、

【数22】

で示される。他のスクランブル方法も実施可能である。

【0100】

制御サーバは、選択されたデータに関する情報を得ることはなく、管理サーバＳＧは、これらのデータのインデックスに関する情報を得ることはない。

【0101】

次に、管理サーバは、制御サーバがスクランブルされたデータ

【数23】

を用いてガーブル回路を評価することができるようにするために、対応する暗号鍵をスクランブルする。

【0102】

管理サーバＳＧによってベースのデータｂ_ｉのビットｕについて生成された暗号鍵は、ビットｕのバイナリ値の関数として、それぞれｋ^０（ｂ^ｕ_ｉ）又はｋ^１（ｂ^ｕ_ｉ）で表される。

【0103】

スクランブルされたデータ

【数24】

のビットについて、対応するスクランブルされた鍵は、ビットｕのバイナリ値０又は１の関数として、

【数25】

及び

【数26】

となる。これらの暗号鍵を用いると、

【数27】

という関係が存在するので、制御サーバＳＣは、スクランブルされた関数から計算を実行することができる。

【0104】

最後に、管理サーバは、紛失通信によって、スクランブルされたバイオメトリックデータの各ビットのそれぞれについての暗号鍵

【数28】

又は

【数29】

（図６では、より簡単にｋ’（ｂ’ｉ_０．．．ｂ’ｉ_ｐ−１）で示されている）を、これらのビットの各バイナリ値の関数として取り出す。

【0105】

最後に、管理サーバは、得られた暗号鍵からステップ３３０において関数を評価し、スクランブルされたデータ

【数30】

に対応するバイオメトリックデータ

【数31】

が所定の閾値ηを上回るｂに対応するか否かを出力する。

【0106】

ガーブル回路Ｃ_ｊに関して行われた一組の評価の発行時に、制御サーバＳＣは、存在する場合には、個人のデータに対応するベースに記憶されたバイオメトリックデータｂ_ｉのインデックスｉを有する。サーバは、ベースの幾つかのデータが個人Ｉのデータに対応する場合には、幾つかのインデックスを有することもできる。

【0107】

制御サーバＳＣは、ステップ４００において、得られたインデックスｉ_ＩＤを管理サーバＳＧに通信し、管理サーバＳＧは、バイオメトリックデータｂ_ＩＤと、個人Ｉとして認証されている記憶された対応する個人とを認証する。

【0108】

例えば、この認証システムがアクセス制御の行われるゾーンの上流に配置される場合、制御サーバＳＣ又は管理サーバＳＧは、そのゾーンへの個人Ｉのアクセスを認可又は不認可することができる。

【0109】

したがって、本発明によるプロセスによって、簡略化されたバイオメトリックデータに対して実行される高速フィルタリングステップに起因して、これまでに提案されたプロセスよりも高速の認証が可能になる。

【0110】

それにもかかわらず、本発明によるプロセスは、高速フィルタリングステップの後の選択されたデータをスクランブルするステップに起因して、全く安全なままである。

【要約】

本発明は、個人又は物体の認証プロセスに関する。システムは、制御サーバと、Ｎ人の記憶された個人のＮ個のインデックス付き基準データを含むデータベースの管理サーバとを備える。
個人又は物体を認証するために、当該個人又は物体のデータが、ベースのＮ個のデータのそれぞれと比較される。
このプロセスは、
− 制御サーバが認証される個人又は物体のデータを取得するステップと、
− ベースの基準データ及び認証される個人又は物体のデータが、より小さなサイズの簡略化データに変換されるステップと、
− データベースのＮ個の簡略化データのそれぞれと、認証される個人又は物体の簡略化データとの間でセキュアに、認証される個人又は物体の簡略化データと最も多くの類似点を有するベースの簡略化データの一組のｐ個のインデックス、ただしｐはＮ未満と、
− 管理サーバが、データベースのＮ個の基準データをスクランブルし、事前に識別された簡略化データに対応するｐ個のスクランブルされたデータを制御サーバに転送するステップと、
− 制御サーバが、ｐ個のスクランブルされたデータから、当該ｐ個のスクランブルされたデータのそれぞれと、個人又は物体のデータとの間のセキュアなマルチパーティ計算によって、対応する基準データが個人又は物体のデータとの所定の閾値を超える類似率を有する、１つ又は複数のスクランブルされたデータの単数又は複数のインデックスを求めるステップと
を含む。

【図1】

【図2】

【図3】

【図4a】

【図4b】

【図4c】

【図4d】

【図5】

【図6】