DE69835764T2

DE69835764T2 - Biometrisches system und darauf anwendbare technik

Info

Publication number: DE69835764T2
Application number: DE69835764T
Authority: DE
Inventors: David Carmi GRESSEL
Original assignee: M Systems Flash Disk Pionners Ltd; Milsys Ltd
Current assignee: Western Digital Israel Ltd
Priority date: 1997-11-17
Filing date: 1998-11-16
Publication date: 2007-01-11
Anticipated expiration: 2018-11-17
Also published as: WO1999026184A1; AU1172099A; EP1032910A4; US6311272B1; DE69835764D1; IL122230A; EP1032910B1; IL122230A0; ATE338310T1; EP1032910A1

Description

GEBIET DER ERFINDUNG
Die vorliegende Erfindung betrifft im Allgemeinen biometrische Vorrichtungen.
HINTERGRUND DER ERFINDUNG
Die biometrische Technologie wird diskutiert in B. Miller "How to think about identification", The 1995 Advanced Card and Identification Technology Sourcebook, Warfel und Miller Inc., Rockville, MD, 1995.
Ein Wertübertragungssystem des Standes der Technik ist in dem US-Patent 5.623.547 an Jones et al. beschrieben.
Die US 4.993.068 offenbart ein persönliches Identifizierungssystem, bei welchem verschlüsselte Versionen von physischen Papieren auf einer tragbaren Speichervorrichtung gespeichert werden und bei einem Kontrollplatz mit Fernzugang präsentiert werden. Wenn die tragbare Speichervorrichtung präsentiert wird, reicht der Nutzer dann seine Identifizierungscharakteristik ein, und ein Vergleich wird durchgeführt mit den Papieren, welche von der Speichervorrichtung erhalten werden, um zu bestimmen, ob ein Zugang gestattet oder verweigert werden soll.
Die US 5.559.504 offenbart eine Vorrichtung zum Ausführen einer Identifizierung, indem der Fingerabdruck eines Fingers erfasst wird (Bereitstellung eines Ausgabesignals) und mit früher registrierten Daten verglichen wird. Dann, wenn das Ausgabesignal den registrierten Daten entspricht, wird das Ausgabesignal dann als die neuen Registrierungsdaten eingestellt, mit welchen der nachfolgende Identifizierungsversuch verglichen werden wird.
ABRISS DER ERFINDUNG
Gemäß der vorliegenden Erfindung ist ein biometrisches System und ein biometrisches Verfahren nach den angehängten Ansprüchen bereitgestellt. Die Erfindung versucht, ein verbessertes biometrisches System und Verfahren bereitzustellen, welche bei der Implementierung eines derartigen Systems nützlich sind.
Es ist somit nach Maßgabe einer bevorzugten Ausführungsform der vorliegenden Erfindung ein gesichertes biometrisches System bereitgestellt, welches eine tragbare gesicherte biometrische Informationsaufnahme umfasst, die biometrische Informationen speichert, welche ein Individuum betreffen, und ein Endgerät umfasst, welches die biometrische Informationen nicht speichert und welches arbeitet, um die biometrische Informationen auf der biometrischen Informationsaufnahme mit den biometrischen Informationen zu vergleichen, welche direkt von dem menschlichen Träger der biometrischen Informationsaufnahme erhalten werden.
Die vorliegende Erfindung stellt im Detail ein biometrisches System bereit, welches eine wandernde biometrische Eigenschaft von Individuen offenbart, wobei das System umfasst: eine Quelle biometrischer Information, welche wenigstens ein erstes und ein zweites Muster wenigstens einer wandernden biometrischen Eigenschaft für jede aus einer Population von Individuen speichert, wobei das erste Muster eine Referenzprobe einer biometrischen Eigenschaft eines Individuums ist und wobei das zweite Muster anfänglich von dem ersten Muster abgeleitet ist, eine Quellenpflegeeinrichtung, welche in Betrieb ist, um ein erstes und ein zweites Muster eines Individuums mit einer frischen Probe zu vergleichen, welche durch das Individuum bereitgestellt ist, und dann, wenn herausgefunden wird, dass die frische Probe dem ersten und dem zweiten Muster ausreichend ähnelt, das zweite Muster zu modifizieren, sodass es Unterschiede zwischen der Referenzprobe und der frischen Probe berücksichtigt.
In einer Anordnung offenbart eine gesicherte biometrische Vorrichtung eine biometrische Eigenschaft von Individuen, wobei das System eine Quelle biometrischer Information umfasst, welche eine biometrische Informationsdatei für jede aus einer Population von Individuen speichert, wobei jede biometrische Informationsdatei eines besonderen Individuums eine Repräsentation einer Probe wenigstens einer biometrischen Eigenschaft umfasst, und eine Information zur Identifikation einer Eintragungsbedienperson umfasst, welche die Eintragungsbedienperson identifiziert, die der Offenbarung der Probe von dem Individuum vorstand.
In einer weiteren Anordnung offenbart ein gesichertes biometrisches System eine biometrische Eigenschaft von Individuen, wobei das System eine sichere Eintragungseinheit umfasst, welche arbeitet, um Individuen einzutragen, indem eine Referenzprobe einer biometrischen Eigenschaft von diesem offenbart wird, eine Steuer/Regeleinheit für einen sicheren Zugang, welche arbeitet, um ein eingetragenes Individuum zu validieren, indem eine frische Probe einer biometrischen Eigenschaft von diesem offenbart wird und indem die frische Probe und die Referenzproben verglichen werden; und ein Sicherheits-Untersystem, welches die biometrischen Eigenschafts-Proben vor Gaunern schützt.
In noch einer weiteren Ausführungsform umfasst ein digitales Entscheidungserstellungssystem eine tragbare digitale Informationsaufnahme; und ein Informationsaufnahmeendgerät, welches arbeitet, um eine Wechselwirkung mit der tragbaren digitalen Informationsaufnahme auszuführen und um eine Entscheidung basierend auf der Wechselwirkung zu treffen, wobei die Wechselwirkung einen offenen Abschnitt und einen geschützten Abschnitt umfasst, und wobei der offene Abschnitt lediglich eine Vereinbarung seitens des Endgeräts hinsichtlich seiner Identität umfasst.
Der geschützte Abschnitt umfasst eine öffentlich bekannte Identität der tragbaren digitalen Informationsaufnahme.
Noch weiter nach Maßgabe einer bevorzugten Ausführungsform der vorliegenden Erfindung umfasst die Informationsaufnahme eine Smart Card.
Zudem umfasst nach Maßgabe einer bevorzugten Ausführungsform der vorliegenden Erfindung der geschützte Abschnitt eine Übertragung eines Werts von einem durch die Informationsaufnahme gesteuerten Konto zu einer Wertdestination, wobei die Übertragung eine Verpflichtung der Informationsaufnahme gegenüber dem Endgerät umfasst, dass der Wert an die Wertdestination zu übertragen ist.
Nach weiterer Maßgabe einer bevorzugten Ausführungsform der vorliegenden Erfindung ist der geschützte Abschnitt durch ein symmetrisches kryptographisches Schema und ein asymmetrisches kryptographisches Schema geschützt.
Noch weiter nach Maßgabe einer bevorzugten Ausführungsform der vorliegenden Erfindung umfasst die biometrische Eigenschaft wenigstens eine aus den folgenden Eigenschaften: eine einem Individuum bekannte Information, einen von einem Individuum besessenen Gegenstand; und ein physiologisches Merkmal eines Individuums.
Herkömmlicherweise betrachten Bedienpersonen von biometrischen Vorrichtungen und diesen unterworfenen Individuen biometrische Eigenschaften nicht als vertrauliche Information, und deshalb umfassen herkömmliche biometrische Vorrichtungen typischerweise keine Sicherheit. Ein besonderes Merkmal einer bevorzugten Ausführungsform der vorliegenden Erfindung ist, dass biometrische Merkmale als ein ausgezeichnetes Kriterium zur Identifizierung von Individuen dann betrachtet werden, wenn und nur wenn angemessene Sicherheit jedesmal bereitgestellt wird, wenn biometrische Merkmale offenbart oder verwendet werden, um eine Zugangssteuerung/regelung bereitzustellen.
Der Begriff "Smart Card" wird hierbei als ein Beispiel verwendet, und es wird verstanden, dass alternativ eine beliebige tragbare Informationsaufnahme verwendet werden kann.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
Die vorliegende Erfindung wird ausgehend von der folgenden ausführlichen Beschreibung verstanden werden, wenn man sie in Verbindung mit den Zeichnungen sieht. Es stellt dar:
1A ist ein vereinfachtes Blockdiagramm eines gesicherten biometrischen Eintragungssystems, welches nach Maßgabe einer bevorzugten Ausführungsform der vorliegenden Erfindung aufgebaut ist und arbeitet;
1B ist ein vereinfachtes Blockdiagramm eines gesicherten biometrischen Eintragungssystems, welches nach Maßgabe einer bevorzugten Ausführungsform der vorliegenden Erfindung aufgebaut ist und arbeitet, in welchem die Eintragungsbedienperson nicht mit ihrem eigenen Smart-Card-Endgerät ausgestattet ist; die 2A–2B bilden, wenn man sie zusammen nimmt, eine vereinfachte Flussdiagramm-Darstellung eines bevorzugten Betriebsverfahrens für das Eintragungssystem von 1A;
3 ist eine vereinfachte konzeptionelle Darstellung einer Eintragungsaufzeichnung bei einem Abschluss des Verfahrens der 2A–2B;
4 ist ein vereinfachtes Blockdiagramm eines gesicherten biometrischen Zugangssteuer/regelsystems, welches nach Maßgabe einer bevorzugten Ausführungsform der vorliegenden Erfindung aufgebaut ist und arbeitet;
die 5A–5B bilden, wenn man sie zusammen nimmt, eine vereinfachte Flussdiagramm-Darstellung eines bevorzugten Betriebsverfahrens für das Zugangssteuer/regelsystem von 4;
6 ist eine vereinfachte Darstellung einer Abfolge von Ereignissen eines bevorzugten Betriebsverfahrens für das Zugangssteuer/regelsystem von 4, wenn man auf einen Nutzer trifft, dessen Identität verifiziert werden kann;
7 ist eine vereinfachte Darstellung einer Abfolge von Ereignissen eines bevorzugten Betriebsverfahrens für das Zugangssteuer/regelsystem von 4;
die 8A–8B bilden, wenn man sie zusammen nimmt, eine vereinfachte Flussdiagramm-Darstellung eines bevorzugten Betriebsverfahrens für das System von 4, welches im Allgemeinen dem Verfahren ähnlich ist, das mit Bezugnahme auf 6 beschrieben ist.
9A ist ein Graph der Raten einer falschen Zurückweisung und einer falschen Akzeptanz einer biometrischen Vorrichtung zum Messen von Hand- oder Fingergeometrie (Prozentsatz falscher Zurückweisungen und falscher Akzeptanzen als Funktion einer Schwellen);
9B ist ein Graph von Raten einer falscher Zurückweisung und einer falscher Akzeptanz einer Scanvorrichtung eines biometrischen Fingerabdrucks; und die 10A und 10B beschreiben Verhandlungen zwischen einem geschützten Smart-Card-Endgerät 450 mit einem öffentlichen Schlüssel und einer Smart Card, wobei das Ziel ist, Zugang zu einer geschützten Umgebung, z.B. einem Tor zu einer Einrichtung oder einer Computerprozedur, zu gewinnen.
AUSFÜHRLICHE BESCHREIBUNG VON BEVORZUGTEN AUSFÜHRUNGSFORMEN
Ein Offenbarungsabschnitt dieses Patentdokuments enthält Material, welches Gegenstand des Urheberschutzes ist. Der Urheberrechtseigentümer hat keinen Einwand gegen die Faksimile-Reproduktion des Patentdokuments oder der Patentoffenbarung durch irgendjemand, wie sie in der Patentdatei oder Aufzeichnungen des Patent- und Markenamts erscheint, aber behält sich ansonsten alle erdenklichen Urheberrechte vor.
Es wird nun auf 1A Bezug genommen, welche ein vereinfachtes Blockdiagramm eines gesicherten biometrischen Eintragungssystems ist, das nach Maßgabe einer bevorzugten Ausführungsform der vorliegenden Erfindung aufgebaut ist und arbeitet.
Das System von 1A umfasst ein Eintragungsprogramm 10, welches in einem SAM (Sicherheitsanmeldungsmodul/Security Application Module) residiert. Ein speicherloses Smart-Card-Endgerät 20 einer Eintragungsbedienperson ist bereitgestellt, welches eine Smart Card 25 aufnimmt, die durch eine Eintragungsbedienperson 27 präsentiert wird. Die Smart Card 25 speichert biometrische Information, welche die Eintragungsbedienperson 27 identifiziert. Die auf der Karte 25 gespeicherte biometrische Information wird, vorzugsweise durch die Smart Card 25 selbst, mit einer frischen Probe von biometrischer Information verglichen. Die frische Probe wird durch die biometrische Vorrichtung 40 gemessen und der Smart Card 25 bereitgestellt. Die Ausgabe des Vergleichsverfahrens ist eine Entscheidung, ob die Eintragungsbedienperson 27 legitimiert ist oder nicht. Wenn sie legitimiert ist, weist die Smart Card dem Gerät 20 an, dass der Beamte 27 wartet und für Maßnahmen verantwortlich ist, welche von der biometrischen Vorrichtung 40 getroffen werden, solange wie die Smart Card 25 in den Kartenschlitz des Geräts 20 eingeführt ist.
Das System ist nun bereit, Nutzer einzutragen, inklusive eine Aufzeichnung von eingetragenen Nutzern zu behalten, was eingetragenen Nutzern gestattet, einzeln erkannt zu werden und deshalb voneinander und von nicht eingetragenen Individuen unterschieden zu werden.
Ein Nutzer (Smart-Card-Träger) 45 präsentiert sich dem System und führt seine Smart Card in ein Nutzer-Endgerät 30 ein. Das Gerät offenbart von der Smart Card eine Identität des gültigen Nutzers der Smart Card und stellt der Bedienperson eine Anzeige bereit, welche diesen gültigen Nutzer identifiziert. Die Bedienperson versichert, dass der Nutzer, welcher die Smart Card mitführt, genau derselbe "gültige Nutzer" ist, dessen Identität in der Smart Card gespeichert ist. Die Identifizierung der Bedienperson kann durch jedes beliebige geeignete Mittel durchgeführt werden, wie z.B. Überprüfung von körperlichen Dokumenten oder indem das Aussehen des Smart-Card-Trägers mit einer Fotografie des gültigen Nutzers visuell verglichen wird, welche das System bereits besitzt, z.B. welche in der Smart Card enthalten ist.
Wenn man annimmt, dass der Smart-Card-Träger als der gültige Nutzer der Smart Card identifiziert worden ist, gestattet die Bedienperson dem Nutzer, mit der biometrischen Vorrichtung 40, wie z.B., aber nicht beschränkt auf eine Messvorrichtung einer optischen Fingergeometrie, wechselzuwirken. Die biometrische Vorrichtung 40 stellt eine biometrische Messvorrichtung bereit, welche den Nutzer für das speicherlose Nutzer-Smart-Card-Endgerät 30 charakterisiert. Der Nutzer ist nun in dem System eingetragen.
Die Smart-Card-Endgeräte sind beide speicherlos bezogen auf die biometrischen Daten in der Hinsicht, dass sie lediglich einen flüchtigen Speicher zum Speichern der biometrischen Daten umfassen, sodass aus Sicherheitsgründen die biometrischen Daten, welche von den Geräten gelesen werden, niemals in dem nicht-flüchtigen Speicher residieren. Die Smart-Card-Endgeräte 20 und 30 umfassen jeweils typischerweise ein SAM, wie z.B. ein CF54A von SGS-Thomson, in welchem alle vertraulichen Funktionen durchgeführt werden.
Alternativ sind die Smart-Card-Endgeräte nicht speicherlos und stattdessen umfassen sie ein Archiv verschlüsselter biometrischer Daten, z.B. ein Archiv, welches auf einer Verschlüsselung mit öffentlichem Schlüssels basiert.
1B ist ein vereinfachtes Blockdiagramm eines gesicherten biometrischen Eintragungssystems, welches nach Maßgabe einer bevorzugten Ausführungsform der vorliegenden Erfindung aufgebaut ist und arbeitet, in welchem die Eintragungsbedienperson nicht mit ihrem eigenen Smart-Card-Endgerät versehen ist. Deshalb ist die Karte der Eintragungsbedienperson nicht während der Eintragungen des Nutzers eingeführt, welchen sie vorsteht, sondern ist typischerweise vielmehr nur einmal oder periodisch oder bei einer Systemaufforderung eingeführt, und sobald sie gültig gemacht wird, wird sie entfernt, um zu gestatten, dass die Smart Card des Nutzers zum Zwecke der Eintragung eingeführt wird.
Die 2A–2B bilden, wenn man sie zusammen nimmt, eine vereinfachte Flussdiagrammdarstellung eines bevorzugten Betriebsverfahrens für das Eintragungssystem von 1A.
3 ist eine vereinfachte konzeptionelle Darstellung einer Eintragungsaufzeichnung bei dem Abschluss des Verfahrens der 2A – 2B. Typischerweise sind lediglich bestimmte Einheiten berechtigt, einen Befehl an eine tragbare Informationsaufnahme auszugeben, um jedes der Felder in der Eintragungsaufzeichnung zu beschreiben. Vorzugsweise lautet die Schreibberechtigung wie folgt:
Anwendungsausgabeperson (z.B. Systembedienperson): Anwendungsüberschrift 300, ursprünglicher Musterschwellenwert 320, überarbeitete Referenzschwelle (optional) 370, letzter Musterschwellenwert 390.
Eintragungsendgerät, welches von den Eintragungsbedienpersonen aktiviert wird: ursprüngliches Muster 310, ursprüngliches Datum 330 und Eintragungsbedienperson ID 340, ID des Eintragungsendgeräts und Sicherheitsniveau 350;
Smart-Card-Anwendung: überarbeitetes Referenzmuster 360, letztes Muster 380, letzte Aktualisierung 400, Biozähler 410.
Anwendungsbeamter, z.B. Arzt: ID 420 des Anwendungsbeamten, Schwellenfaktor 430.
4 ist ein vereinfachtes Blockdiagramm eines Steuer/Regelsystems eines gesicherten biometrischen Zugangs, welches nach Maßgabe einer bevorzugten Ausführungsform der vorliegenden Erfindung aufgebaut ist und arbeitet. Das System von 4 ist nützlich beim Ermöglichen, dass eingetragene Nutzer bestimmte Handlungen kontrolliert ausführen. Das System von 4 umfasst eine biometrische Vorrichtung 440 und ein Smart-Card-Endgerät 450, welche vorzugsweise integral ausgebildet sind. Das Smart-Card-Endgerät 450 ermöglicht, dass eingetragene Nutzer finanzielle Transaktionen ausführen und/oder physischen Zugang zu eingeschränkten Stellen erlangen und/oder eine beliebige geeignete Handlung kontrolliert ausführen. Das Smart-Card-Endgerät 450 umfasst typischerweise ein SAM 470 und ein Archiv 460, welches sich typischerweise außerhalb des SAM befindet.
Typischerweise umfassen die biometrische Vorrichtung 440 und das Endgerät 450 gesonderte SAMs 444 und 470.
Die 5A–5B bilden, wenn man sie zusammen nimmt, eine vereinfachte Flussdiagrammdarstellung eines bevorzugten Verfahrens, um eine frische biometrische Probe mit einem oder mehreren biometrischen Referenzproben zu vergleichen. Typischerweise ist mehr als eine Referenzprobe dann gespeichert, wenn bekannt ist, dass die biometrische Eigenschaft wandert. Vorzugsweise sind zwei Referenzproben bereitgestellt, wobei eine das ursprüngliche Maß und die andere ein wanderndes Maß ist, welches die biometrische Eigenschaft, wie sie jüngst abgefragt wurde, widerspiegelt. Das Verfahren der 5A–5B bestimmt typischerweise, dass die frische biometrische Probe von demselben Individuum wie die Referenzproben genommen wurde, indem eine geeignete Schwelle verwendet wird, wie z.B. eine, welche sich in der Nähe der Kreuzung der FAR- und der FRR-Kurve in
9A befindet. Dann aktualisiert das Verfahren der 5A–5B vorzugsweise die zweite von den zwei Referenzproben basierend auf der frischen Probe. Die zweite Referenzprobe wird typischerweise nicht durch die frische Probe ersetzt, sondern wird vielmehr modifiziert, um Veränderungen zu kompensieren. Zum Beispiel dann, wenn es ein dreiwertiges Referenzmuster A (25, 75, 45) und einen abgefragten Vektor B: (35, 65, 50) gibt und das Kompensationsverfahren darin besteht, Elemente des vorherigen A-Vektors mit 0,8 zu multiplizieren und die Elemente des B-Vektors mit 0,2 zu multiplizieren und dann die entsprechenden Vektoren zu summieren, lautet das überarbeitete neue Referenzmuster: (0,8 25 + 0,2 × 35, 0,8 × 75 + 0,2 × 65, 0,8 × 45 + 0,2 × 50) = = (27, 73, 46)
Das Verfahren der 5A–5B wird vorzugsweise durch die Smart Card 480 oder alternativ irgendwo anders, wie z.B. in dem Endgerät 460, durchgeführt.
6 ist eine vereinfachte Darstellung einer Abfolge von Ereignissen eines bevorzugten Betriebsverfahrens für das Zugangssteuersystem von 2, wenn man einem Nutzer begegnet, dessen Identität verifiziert werden kann, wobei die vertrauliche Information in dem Archiv des Endgeräts von 4 in einer Erfassungseinrichtung verschlüsselt wird. Die Erfassungseinrichtung ist typischerweise eine Einheit, die Transaktionen verarbeitet. Zum Beispiel bei Bankanwendungen kann die Erfassungseinrichtung ein Giro sein, d.h. ein automatisierter Service zur Bereitstellung einer Zahlungsabstimmung, indem Wert zwischen Finanzeinheiten übertragen wird, um eine algebraische Summe von Transaktionen zwischen ihnen widerzuspiegeln. Bei Anwendungen zur Steuerung eines physischen Zugangs umfasst die Erfassungseinrichtung typischerweise eine automatische Eintrittsaufzeichnungsvorrichtung, welche Individuen aufzeichnet, die durch einen Zugangskontrollpunkt gehen.
7 ist eine vereinfachte Darstellung einer Abfolge von Ereignissen eines bevorzugten Betriebsverfahrens für das Zugangssteuersystem von 4, wenn man einem Nutzer begegnet, dessen Identität verifiziert werden kann, wobei die vertrauliche Information in dem Archiv des Endgeräts von 4 im Klartext gespeichert wird, d.h. ihre Vertraulichkeit wird nicht aufrechterhalten.
Die 8A–8B bilden, wenn man sie zusammen nimmt, eine vereinfachte Flussdiagrammdarstellung eines bevorzugten Betriebsverfahrens für das System von 4, welches im Allgemeinen ähnlich dem Verfahren ist, das mit Bezugnahme auf 6 beschrieben ist. Dann, wenn die betrachtete biometrische Messung sowohl PIN/Passwort als auch Biometrie (Schritt 710) umfasst, werden typischerweise zwei Zweige des Flussdiagramms ausgeführt: sowohl der von Schritt 720 aus startende Zweig als auch der von Schritt 710 aus startende Zweig. Ein bevorzugtes Verfahren zum Ausführen des biometrischen Verarbeitungsschritts 720 ist das Verfahren, welches oben mit Bezugnahme auf die 5A–5B beschrieben ist.
9A ist ein Graph der Raten der falschen Zurückweisung und falschen Akzeptanz einer biometrischen Vorrichtung zum Messen einer Hand- oder Fingergeometrie (Prozentsatz von falschen Zurückweisungen und falschen Akzeptanzen als eine Funktion einer Schwelle).
9B ist ein Graph der Raten der falschen Zurückweisung und falschen Akzeptanz einer biometrischen Fingerabdruckscanvorrichtung.
Ein besonderer Vorteil der hier beschriebenen bevorzugten Ausführungsform der vorliegenden Erfindung ist die Verbesserung der Vertraulichkeit, Sicherheit und Authentizität bezüglich der biometrischen Identität und anderen Idenditätssystemen.
Menschen zu identifizieren wird zunehmend eine Funktion, welche notwendig ist, um eine Zugang zu Computern, privaten Lebensräumen, Büros oder empfindlichen Einrichtungen zu steuern, und um eine beweisbare Beziehung zwischen einer Person und bestimmten Informationen aufzubauen, zur Verwendung bei Zahlungssystemen, Visa- und Pass-Systemen, Gesundheitsdateien usw.
Biometrische Technologien sind beschrieben bei Miller, B, "How to Think about Identification", The 1995 Advanced Card and Identification Technology Sourcebook, S. 17–27, Warfel and Miller Inc., Rockville, Md., 1995, im Folgenden als "Miller" bezeichnet. Miller beschreibt diese Technologien als derartige automatisierte Verfahren zum Identifizieren eines Menschen, welche auf physiologischen- oder Verhaltenseigenschaften basiert sind.
Bei Systemen mit großem Umfang kann eine derartige Identifizierung nicht effizient und sicher abhängig von einer persönlichen Erkennung gehandhabt werden, z.B. ein Sicherheitswärter am Eingang einer großen Bank, welcher alle Kunden der Institution erkennt. Zusätzliche Identitätsverfahren, welche eine automatische Maschinenklassifizierung bei schwankenden Sicherheitsniveaus gestatten, sind notwendig.
Miller schrieb, dass alle derartigen Identifizierungsprozesse in ein Modell gezwungen werden können, indem ein einzelner oder eine Kombination von drei Basis-Bausteinen verwendet werden. Eine Person kann identifiziert werden durch etwas, das sie oder er kennt, z.B. eine persönliche Identifizierungsnummer (PIN); durch etwas, was eine Person besitzt, z.B. einen Pass oder einen Führerschein, Kreditkarte; und/oder durch etwas über eine derartige Person, z.B. eine Signatur oder die Art und Weise, eine derartige Signatur zu erstellen, ein Fingerabdruck; die einzigartige Hand- oder Fingergeometrie; die Stimme der Person oder die Art und Weise ihrer Sprache, oder die Gesichtsmerkmale der Person.
Da derartige Informationen am häufigsten in einem offenen Kommunikationssystem verwendet werden, in welchem ein Eindringling, ein Freund oder ein verstimmter Angestellter Zugang zu der übertragenen Information haben könnte, ist es in zunehmender Weise für einen derartigen Systemfeind möglich, derartige Daten aufzuzeichnen und wieder zu verwenden, um sich als eine andere Person mit der Absicht auszugeben, einen Satz von Systemzugangsregeln zu verletzen. Es gibt unzählige Beispiele, z.B. ein Kind, welches eine Kreditkarte der Eltern verwendet, um Zigaretten von einem Automaten zu kaufen, der derart programmiert ist, dass er lediglich legal Tabak an Erwachsene verkauft; eine kriminell versteckte Kamera, welche einen Kreditkartenhalter sichtet, der seine Geheimzahl in einen Geldautomaten (ATM) eingibt. Indem man die in einfacher Weise duplizierten Daten auf der Magnetstreifenkreditkarte des Opfers kennt, ist ein Betrüger nun derart ausgestattet, dass er entweder eine unrichtig erhaltene oder eine gefälschte Kreditkarte verwendet, um Zugang zu einer Kreditlinie einer anderen Partei zu erhalten.
Bei vielen Beispielen sind derartige oder sollten derartige Identifizierungsdaten nicht in der öffentlichen Domäne sein, z.B. ein PIN-Code einer Person, ein genaues Muster seines Fingerabdrucks oder seiner Hand- oder Fingergeometrie, insbesondere dann, wenn diese Information in einem Standardverfahren formatiert ist, welches einem Betrüger dienlich sein kann. Bei derartigen Beispielen, in welchen sich derartige Daten in der öffentlichen Domäne befinden, erklärt die Systembedienperson vorzugsweise deutlich, welche Daten gespeichert werden, was dem Systemnutzer die Gelegenheit gibt, ein anderes persönliches Attribut für eine vertrauliche Identifizierung zu finden.
Zum Beispiel hält ein Freizeitpark eine zentrale Datenbank einer Fingergeometrie von derzeitigen und früheren Haltern von Zugangspässen zu den Einrichtungen des Freizeitparks aufrecht, in welchen Millionen von Proben derartiger Informationen gehalten werden. Gemessene Daten werden über das Kommunikationsnetzwerk des Parks übertragen, damit sie gegenüber den Aufzeichnungen der zentralen Datenbank authentifiziert werden, um sicherzustellen, ob die Person, welche Eintritt begehrt, der rechtmäßige Halter eines zeitweiligen Passes ist. Wenn eine Bank eines Nutzers dieselben biometrischen Attribute anstelle einer PIN-Nummer verwenden sollte, verwendet ein Nutzer typischerweise eine Hand, z.B. den linken Vorder- und Zeigefinger, für seine vertrauliche Identifizierung bei einer ATM-Maschine, und die andere Hand zur Verwendung in einer Situation, in welcher derartige Daten nicht auf eine ausreichend vertrauliche Weise gespeichert werden, oder eine, welche eine potenzielle Gefahr für den rechtmäßigen Nutzer darstellen würde. Ein besonderes Merkmal einer bevorzugten Ausführungsform der vorliegenden Erfindung ist, dass vertrauliche Daten in einer unversehrten Umgebung gehalten werden, und eine weitere Absicht ist es, derartige Daten in unversehrten Umgebungen zu schützen, und eine dritte ist, eine Sicherhaltung bei weniger überwachten Datenbanken gegenüber Missbrauch bereitzustellen, indem einem vertrauten Beamten verschlüsselt wird, wer Zugnag zu Informationen erhalten darf, dann wenn und nur dann, wenn ein erforderlicher legaler Prozess bereitgestellt worden ist.
Biometrische Daten werden weiterhin dort als potenziell vertraulich oder unvertraulich klassifiziert, wo der Bürger eine klare Option hat, ob seine Daten nicht-versehrt sein können, bis zu dem Punkt, bei welchem, sollte er nicht physisch gezwungen werden, sich einer Messung zu unterwerfen, diese Information auf eine vernünftig vertrauliche Weise aufrechterhalten werden kann. Beispiele von potenziellen nicht-vertraulichen biometrischen Daten sind Passbilder, Fingerabdrücke, welche von einem gewöhnlichen Trinkglas kopiert werden können, Signatur-Accelo-Rhythmus oder rhythmische Daten von Tippeigenschaften, Stimmenattribute usw., welche alle ohne das Wissen des Nutzers gesammelt werden können.
Die Verfahren dieser Erfindung können verwendet werden, um alle diese biometrischen Identifizierungsattribute zu verbinden, zu schützen und vertraulich zu halten, wobei bei bevorzugten Implementierungen der Identifizierungsprozess ein oder mehrere biometrische Maße umfasst, welche einen einzelnen Menschen mit einem hohen Sicherheitsniveau definieren können. Im Allgemeinen wird ein stichprobenhafter Test von biometrischen Merkmalen hier ein Biotest genannt. Die Referenzdaten, mit welchen dieser Biotest verglichen wird, wird ein "Testvektor", eine "Testmatrix", ein "Muster", ein "Merkmalmuster" oder ein "Referenzmuster" genannt.
Als eine weitere Unterteilung können einige dieser Merkmale als relativ unveränderlich klassifiziert werden, wie z.B. Maße, welche sich auf Iris-Scans, Netzhaut-Scans, DNA und auf die Einzelheiten von Fingerabdrücken beziehen.
Weitere biometrische Eigenschaften sind veränderlich und wandern, schwanken oder unterliegen weiteren Veränderungen, welche durch Alter, Unfestigkeit oder persönliche Fluktuationen verursacht werden. Diese Veränderungen werden in Hand- und Fingergeometriescannern gemessen oder sie werden dynamisch durch Computer online analysiert, z.B. die Rhythmen eines Anschlags einer Schreibkraft, die Dynamik von Signaturen, bei welchen die Rhythmen, Beschleunigungen und Druck, die von einem Unterzeichner ausgeübt werden, gemessenwerden; oder Veränderungen, welche bei der Stimme, der Sprache oder der Körpergeometrie bemerkt werden. Die wandernden Parameter werden am besten in einem System erkannt, welches konstant im Gebrauch ist, aber werden vorzugsweise entweder bei weniger festen Schwellen einer Akzeptanz oder einer Zurückweisung oder bei einem sorgfältigen Aktualisieren eines Referenzmusters kompensiert. Eine weitere Absicht dieses Patents ist es, Verfahren zum Kompensieren von Veränderungen derartiger Daten zu zeigen, welche in Beziehung stehen zum Wandern von gemessenen Daten als Folge von Alter, Unfestigkeit oder normalen Schwankungen bei persönlichen biologischen Mustern.
Viele Verfahren zum Speichern derartiger biometrischer Daten werden verwendet und können in vielen Fällen von Bedienpersonen absichtlich verstümmelt oder durch fehlerhafte Speichervorrichtungen degeneriert werden. Eine weitere Absicht dieses Patents ist es, die Werkzeuge zu entwickeln, um derartige biometrische Daten in einer gesicherten Umgebung auf Grundlage der Annahme zu errichten, dass sie verantwortungsbewusst gesammelt wurden und dass es weder eine absichtliche noch eine unabsichtliche Undichtigkeit derartiger vertraulicher Daten gab.
In zwei bevorzugten Ausführungsformen sind Beispiele gezeigt, wie derartige Daten in einer mit einem öffentlichen Schlüssel geschützten Smart-Card gespeichert werden können und derart verwendet werden können, dass eine feindliche Sonde praktisch unfähig wäre, die einzigartigen persönlichen Daten der zu identifizierenden Person oder seine öffentlich bekannte Identität, z.B. seinen Namen, ID-Nummer usw., zu lernen. Bei beiden dieser bevorzugten Ausführungsformen werden die vertraulichen Daten in einer unversehrten Umgebung verarbeitet. Dieses Verfahren ist insbesondere bei Zahlungsschemen geeignet, bei welchen ein maximaler Grad an Anonymität in bestimmten Umgebungen wünschenswert ist, z.B. Automatenkäufe von Gesundheitsprodukten oder persönlichen Hygieneprodukten.
Unter Verwendung des Verfahrens von 6 erscheinen keine vertraulichen Daten, welche in dem gesicherten Anmeldungsmodul des Endgeräts (SAM/Terminal Secured Application Module) verarbeitet werden, im Klartext auf der Smart-Card-Schnittstelle; jedoch können sie oder können alle von ihnen alternativ im Klartext oder verschlüsselt in dem ungeschützten Speicher des Endgeräts archiviert werden.
Bei allen Beispielen, wie bei den Verfahren von 6, bei welchem vertrauliche Biometrien, wie z.B. Fingerscans, Netzhautscans, Passwörter oder geheime Identifizierungsnummern gespeichert werden, wird der Vergleich mit einem Muster vorzugsweise in der einzelnen Smart Card ausgeführt, und die Überarbeitungen an einem Muster werden typischerweise innerhalb der Smart Card oder alternativ in einem kryptographisch verbundenen SAM ausgeführt. Alternativ können derartige Daten verschlüsselt werden, indem ein gemeinsam genutzter geheimer Systemschlüssel verwendet wird, und in einer tragbaren Speichervorrichtung gespeichert werden, welche von dem Nutzer mitgeführt wird. In einem derartigen Beispiel wird das gesamte Risikomanagement vorzugsweise in dem SAM des Smart-Card-Endgeräts gespeichert. Die relative Schwäche eines derartigen Systems ist, dass alle Endgeräte Systemschlüssel aufweisen. Dieser Systemfehler kann abgemildert werden, indem Schlüssel für eine beschränkte Verwendung heruntergeladen werden, indem Austauschprozeduren mit einem öffentlichen Schlüssel verwendet werden.
Smart Cards oder andere tragbare elektronisch geschützte Sicherheitsvorrichtungen werden verwendet, um Informationen zu schützen und um Identität und Verantwortung von Systemnutzern und Bedienpersonen zu errichten. Neue mit einem öffentlichen Schlüssel geschützte Smart Cards weisen das zusätzliche Attribut auf, eine gesicherte Kommunikationsleitung zwischen zwei oder mehr Nutzern mit oder ohne die Intervention eines gesicherten Endgeräts zu entwickeln, wobei jede seine eigenen inneren Risikomanagementmechanismus aufweist, was gestattet, dass die meisten Transaktionen zwischen Nutzern, Kaufleuten, Gesundheitsbeamten usw. sicher ausgeführt werden, ohne einen Zugang zu einer zentralen Berechnungseinheit. Derzeit vermarktete Beispiele derartiger Vorrichtungen sind die Fortress U & T Ltd., Beersheva, Israel, im Folgenden Fortress SCOS+ Smart Card, welche die integrierte Schaltung CF54A der Smart Card mit öffentlichem Schlüssel verwendet, die von der SGS-Thomson aus Rousset, Frankreich, hergestellt wird, basierend auf einem Kryptoprozessor und einer kryptographischen Bibliothek, welche von Fortress konstruiert wurde. Diese Schaltung verwendet das Industriestandard-Verschlüsselungssystem RSA mit öffentlichem Schlüssel für Signatur- und Geheimschlüssel-Austausch und das DES-System für eine Verschlüsselung.
Diese Vorrichtungen, welche beliebige der bekannten kryptographischen Verfahren mit öffentlichem Schlüssel verwenden, werden als SAMs in Endgeräten und in Smart Cards verwendet. Die Vorrichtungen steuern/regeln den Zugang zu Informationen, validieren Informationen, ihren Ursprung und die Integrität ihrer Inhalte. Indem man diese Vorrichtungen in Kombinationen verwendet, ist es möglich, Nachrichten zu senden, Kartenhalter zu authentifizieren, Zugang zu sensitiven Einrichtungen zu steuern/regeln und eine Hierarchie von Mitgliedern eines kryptographischen System mit öffentlichem Schlüssel zu errichten. In derartigen Systemen ist es möglich, zu steuern/regeln, wer was tun kann, wo das Individuum es tun kann, wann, wo und innerhalb welcher Zeitdauer, z.B. kann ein Arzt Zugang zu seinem Computer und zu einem definierten Modem erlangen und kann ebenso berechtigt sein, in einer Smart Card eines Patienten in einer bestimmten Klasse von Gesundheitsakten zu lesen und zu schreiben, und eine weitere Klasse von administrativen Akten zu lesen und nicht in der Lage sein, eine biometrische Akte zu lesen; wohingegen eine Krankenschwester einen sehr begrenzten Lesezugang zu dem Computer des Arztes haben kann, und lediglich Lesezugang zu eingeschränkten Sektionen einer Gesundheitsakte eines Patienten haben kann. Eine biometrisch aktivierte Smart Card kann einen individuellen Zugang zu einem Banksafe gewähren.
Da angenommen wird, dass der Smart-Card-Speicher der neuen Generation hinsichtlich einer Mutation unversehrt ist, wenn er richtig programmiert ist, können die darin enthaltenen Programme und Prozeduren als unversehrt betrachtet werden. Wenn sie mit einer Kryptographie mit einem öffentlichen Schlüssel geschützt wird, wird jeder Vorrichtung und einer folgende Berechtigung, welche diesen Prozeduren folgt, Einzigartigkeit verliehen.
Ein ausdrückliches Beispiel, die Genauigkeit einer Identifizierung und eines Schutzes von vertraulichen Informationen zu steigern, wird angegeben, indem eine kommerziell erhältliche computerisierte elektrooptische Vorrichtung, die Digi-2 verwendet wird, welche von BioMet Partners, Inc. aus Murten, Schweiz, im Folgenden BioMet, hergestellt wird, bei welcher der kryptographische Schutz mit öffenlichem Schlüssel erhöht wird, indem kryptographische Smart-Cards mit öffentlichem Schlüssel und Sicherheitsanwendungsmodulen verwendet werden, welche von der Fortress U. & T. Ltd., Beersheva, Israel, hergestellt werden.
Mengen an biometrischer Informationen, welche gespeichert werden, schwanken in jedem der Verfahren bei öffentlicher Nutzung. Eastman Kodak verkauft Softwarepakete, welche individuelle Gesichtsdaten komprimieren, indem Geometrien und Farbtöne von Gesichtskomponenten definiert werden, was gestattet, dass 60 Bytes von Merkmals-codierten Daten zum Reproduzieren eines Passbildes ausreichen, während andere Datenkomprimierungsverfahren, welche sich nicht auf im Computer aufbewahrte Gesichtsmuster verlassen, bis zu 8 kBytes Speicher für ein gut definiertes Bild verwenden. Es ist bekannt, dass Fingerabdruckdatenbasen Merkmalsdaten für jeden individuellen Abdruck auf von 256 Bytes bis zu 1 kByte Speicher komprimieren.
Die effizientesten Datenspeicherverfahren, welche sich im Gebrauch befinden, umfassen Hand- und Fingergeometrie. Der kommerziell erhältliche ID-3D Handkey, welcher von der Recognition Systems, Inc. aus Campbell, Kalifornien (im Folgenden RSI) hergestellt wird, verwendet ein Referenzmuster von 10 Byte, während der Digi-2 (BioMet) ein komprimiertes Muster von 20 Byte aufweist. Das RSI-Muster ist das kleinste, welches sich in der Biometrik in derzeitiger Verwendung befindet (Miller).
Nun werden Messungen der Ausführung bezüglich Identifizierungssteuer/regelschemata beschrieben.
Ein Schwellenwert für eine Messung ist ein Maß einer akzeptablen Nähe eines gemessenen Vektors von Merkmalen zu einem Referenzmuster derselben Merkmale. Als Nähe eines Biotests zu einem Muster wird oft als die Summe der quadrierten Entfernungen zwischen gemessenen Werten von erprobten Merkmalen in dem Biotest zu den Referenzwerten von Merkmalen in dem Muster gemessen; allgemein gesprochen erhält eine große Nähe eine kleinere Marke und eine größere Marke bedeutet ein weniger akzeptables Ergebnis. In der Praxis werden Schwellen definiert, welche Werte sind, oberhalb derer eine Marke unakzeptabel ist. Eine feste Schwelle ist ein kleinerer Wert, welcher typischerweise ein genaueres Maß erfordert, und eine lose Schwelle ist eine, bei welcher wir vielleicht eine größere Möglichkeit erwarten, dass ein Betrüger einen Biotest besteht.
Die akzeptierten Qualitätsmaße bei automatisierten Identifizierungsschemen sind die Raten von falscher Akzeptanz und falscher Zurückweisung. Die 9A und 9B sind unskalierte konzeptionelle Graphen der Beziehungen dieser zwei Parameter, basierend auf Daten bei Miller und BioMet für eine typische biometrische Vorrichtung für Fingerabdruck und Fingerscan.

1) Die Rate einer falschen Akzeptanz (FAR/False Acceptance Rate), welche das Verhältnis misst zwischen Betrügern, denen Akzeptanz gewährt worden ist, zu der Gesamtanzahl von Bewerbern für eine Akzeptanz.

Wie man in den Graphen der 9A und 9B sehen kann, bedeutet eine lockere Schwelle, dass eine Vorrichtung mehrere Kandidaten für einen Eintritt akzeptiert, unter welchen sich Betrüger befinden können.
Die Rate falscher Akzeptanz ist bei Fingerabdruckscans typischerweise äußerst gering, typischerweise eins zu einer Million, wobei die falsche Akzeptanz bei einer Handgeometrievorrichtung typischerweise eins zu fünfhundert bis eintausend sein kann, abhängig von der Strenge der Schwelle.

2) Die Rate falscher Zurückweisung (FRR/False Rejection Rate), welche das Verhältnis zwischen gültigen Mitgliedern der Akzeptanzgruppe, die von dem Identifizierungssystem unrichtiger Weise zurückgewiesen wurden, und der Gesamtanzahl von Bewerbern anzeigt.

Wie man in den Graphen der 9A und 9B sehen kann, bedeutet eine lockere Schwelle, dass eine zunehmend große Untergruppe von Kandidaten für einen Zutritt akzeptiert wird und deshalb wenige gültige Mitglieder der Gruppe unrichtiger Weise zurückgewiesen werden. Unter denjenigen, die die Vorrichtung nicht zurückgewiesen hat, befinden sich die meisten von denjenigen, die zurückgewiesen hätten werden sollen.
Bei einer Fingerabdruckscanvorrichtung ist die FRR-Rate typischerweise äußerst hoch, da viele Klassen von Leuten undeutliche Fingerabdrücke haben, während diejenigen, deren Fingerabdrücke klar waren, mit einem sehr hohen Grad an Sicherheit akzeptiert werden. Hier ist zu erwarten, dass die hohe FRR-Rate ungefähr 3 % der Population in einem erfahrenen genauen System zurückweisen wird. Die Genauigkeit verbessert sich in dem Maße, wie Nutzer lernen, den Einschränkungen von biometrischen Systemen zu entsprechen, und das Referenzmaß verbessert sich ebenso typischerweise langsam, sodass es die Wanderung der gemessenen Merkmale erfasst.
Die FRR einer Finger- oder Handgeometrievorrichtung ist typischerweise ein Fünfzehntel der Fingerabdruckscanvorrichtung.
Der Kreuzungspunkt ist die Verbindung des FAR- und des FRR-Graphen. Wie man bei diesen Figuren sehen kann, weisen die Finger- oder Handgeometrievorrichtungen die ausgewogensten FARs und FRRs auf, da sich der Kreuzungspunkt, bei welchem sich die zwei Graphen treffen, in der Nähe der gewünschten Schwelle befindet. Daran kann man sehen, dass hinsichtlich eines allgemeinen Gebrauchs bevorzugt wird, ein adaptives Mittel zu verwenden, um unsere Referenzmuster zu aktualisieren.
Intuitiv wird verstanden, dass es keine einzige Vorrichtung gibt, welche für alle Zwecke die beste ist.
In 9A werden zwei typische Nähe-Schwellen, 100 und 200, welche durch horizontale unterbrochene Linien repräsentiert werden, für eine Digi-2 Fingergeometrie-Identifizierungsvorrichtung beschrieben. Für das Beispiel eines biometrischen Probens einer Digi-2, bei welcher es nicht wahrscheinlich ist, dass ein Betrüger eine Wahrscheinlichkeit von eins zu tausend wahrimmt, um das System in einer überwachten Umgebung zu beugen, würde eine FAR-Schwelle von 100 vernünftig sein, wenn die Systemmanager eine von 500 falschen Zurückweisungen (FARs) unterbringen können.
Wenn jedoch, wie in dem Fall eines Vergnügungsparks, eine Person lediglich mit einer Zeitdauer mit geringem Wert verbunden ist (z.B. ein Wochenpass), wird die mögliche Verstärkung gegen die Peinlichkeit, verhaftet zu werden, gewichtet, und eine lockerere Schwelle von 200 reicht typischerweise aus, mögliche Betrügereien abzuwehren.
9A wird verglichen mit 9B, welche ein typischer Graph eines Fingerabdruckscanners ist. Hier haben die Veränderungen des Schwellenwerts eine geringe Wirkung auf das Ergebnis eines Biotests. Wenn ein Individuum von dem Biotest akzeptiert wird, ist es klar, dass mit einer Wahrscheinlichkeit von eins zu einer Million ein Betrüger den Test schafft. Dies ist so, da der potenzielle Betrüger mit aller Wahrscheinlichkeit nicht einverstanden wäre, sich selbst der Gefahr, verhaftet zu werden, auszusetzen.
Jedoch würden typischerweise ungefähr 3 Prozent der Bevölkerung zurückgewiesen werden, ungeachtet des Werts der Schwelle. Bei einer Grenzsteuer/regelumgebung würde dies bedeuten, dass die Wächter typischerweise ... gerufen werden würden, um ungefähr einen von dreißig Anmelder zu verarbeiten. Das Lockern der Schwellenwerte bis zu dem Kreuzungspunkt dient dazu, sowohl eine FAR als auch eine FRR von über 2 zu bewirken.
In dem Graph von 9A befindet sich der Kreuzungspunkt in der Nähe der Arbeitsschwellen. In der Nähe der Schwellen (100 und 200 in der dargestellten Ausführungsform) haben sowohl die FRR als auch FAR dieselbe Größenordnung, und das System ist ausgeglichen. In dem Graph von 9B, derjenige des Fingerabdruckscanners, ist die erwartete FAR acht Größenordnungen kleiner als die FRR.
Die 10A und 10B beschreiben Verhandlungen zwischen einem mit öffentlichem Schlüssel geschützten Smart-Card-Endgerät 450 und einer Smart-Card, wobei es das Ziel ist, Zugang zu einer geschützten Umgebung zu erlangen, z.B. einem Tor zu einer Einrichtung oder einer Computerquelle oder Prozedur. Die Verhandlung ähnelt einer monetären Transaktion, wie sie in den 6A–6B dargestellt ist, mit Ausnahme der Tatsache, dass kein Wert von der Smart-Card zu dem Endgerät übertragen wird, das keine internen elektronischen Börsen dem System zugeordnet sind und ein Scheck durch eine signierte Verpflichtung ersetzt wird, um Eintritt zu fordern.
10A stellt ein Gerät in einer typischen kaum geschützten Umgebung oder in einer geheimen Installation dar, wo die Identität der Individuen nicht im Klartext archiviert ist. 10B ähnelt 10A mit Ausnahme des finalen Archives. In 10A werden vertrauliche Daten verschlüsselt und in der Datenaufnamheeinrichtung archiviert. In 10B ist die Identität der Individuen, welche Zutritt gewonnen haben, im Klartext archiviert.
Bei den finalen Stadien der verhandelten Transaktionen der 10A–10B verschlüsselt und authentifiziert das Endgerät SAM typischerweise die Identität des Nutzers. In 10A verschlüsselt das SAM die archivierten Daten für eine zukünftige Übertragung zu der Datenaufnahmeeinrichtung. In 10B überträgt das SAM die Identität des Nutzers im Klartext an das Endgerät, wo sie sicher für eine Übertragung zu der Datenaufnahmeeinrichtung archiviert wird.
Die Genauigkeiten, welchen man begegnet, wenn man eine Person mit einem Muster von Merkmalen verbindet, hängen von der Strategie der Systembedienperson und Integrationsperson und von der Genauigkeit der Messung des ursprünglichen Musters, der Wiederholbarkeit der Messung, der Qualität und Genauigkeit einer Kalibration der Ausrüstung, der Häufigkeit der Nutzung und der Fügsamkeit des Nutzers beim sich Aussetzen der Analyse ab. Die Systembedienperson und Integrationsperson errichten und verändern möglicherweise die Schwellenwerte, welche die akzeptable Nähe einer Messung zu dem Muster definieren, was einen bevorzugten Satz von Werten anzeigt.
In den meisten Fällen wird angenommen, dass ein vernünftiges Maß der Fügsamkeit eines Nutzers erhalten wird, indem ein Nutzer motiviert wird, zu versuchen, positiv identifiziert zu werden, um ein Ziel zu erlangen, z.B. einen Kauf, einen Zutritt zu einer Einrichtung usw. Deshalb versucht der Nutzer, eine Messung zu erhalten, welche sich in großer Nähe zu den Referenzmustern befindet. Die Erfahrung hat Bedienpersonen gezeigt, dass mit kontinuierlicher Nutzung genauere Messungen erhalten werden. In der bevorzugten Ausführungform in den 5A–5B ist ein zweites stabiles Referenzmuster nach einer definierten Anzahl von Versuchen adaptiv errichtet.
Bei Systemen, bei welchen gemessene Werte wandern oder schwanken, sogar zu einem leichten Grad, werden Prozeduren zum Ändern des Musters aufrechterhalten und überarbeitet.
Unversehrte Umgebungen im Sinne dieses Dokuments sind eingegrenzte Umgebungen, welche als undurchdringbar durch Feinde, Hacker oder durch die Bedienpersonen oder Nutzer selbst betrachtet sollen.
Derartige notwendigerweise überwachte Umgebungen umfassen typischerweise:

1) Smart Cards und SAMs (Security Application Modules/Sicherheitsanwendungsmodule) von Nutzern und Bedienpersonen in Endgerätevorrichtungen. Diese sind typischerweise Vorrichtungen, bei welchen alle geheimen Schlüssel und Zufallsnummern intern erzeugt werden und alle Operationen und Befehle lediglich dann ausgeführt werden, wenn eine richtige Authorität von einer anderen Vorrichtung oder authorisierten Person empfangen wird, um einen verifizierten Befehl auszuführen. Es wird gewöhnlicherweise angenommen, dass ein Feind mit großem Kostenaufwand die Firmware einer derartigen Vorrichtung lernen kann, und dass, indem eine Vorrichtung physisch zerstört wird, ein Arbeitsklon der Vorrichtung hergestellt werden könnte, ohne in der Lage zu sein, die intern erzeugten Geheimnisse herauszukriegen.
2) Die Erzeugungsausgabe und Sammelumgebung von internen Daten in einer biometrischen Vorrichtung, bei welcher die Biotestdaten als vertraulich klassifiziert sind. Biometrische Daten in einem sicheren System sind PIN-Nummern und Passwörtern in Hochsicherheitssystemen äquivalent. In den einfachsten Beispielen könnte ein Feind mit einer gestohlenen Smart Card, welche biometrische Daten enthält, und Zugang zu einer Untersuchung in biometrischen Vorrichtung, die Karte aktivieren und sie betrügerisch verwenden. In einem weiteren Beispiel könnte er versuchen, da er sowohl die Maße eines Opfers als auch die Merkmale eines Kriminellen kennt, in der Lage zu sein, eine aufblasbare Vorrichtung herzustellen, welche den biometrischen Merkmalen des Opfers gleicht, und zu veranlassen, dass das Referenzmuster von einem ursprünglich gegebenen Muster zu dem Muster des Kriminellen wandert, indem er typischerweise eine widerrechtlich erlangte biometrische Vorrichtung verwendet.
3) Der Eintragungscomputer, in welchem Nutzer in das System registriert werden, mit der biometrischen Initiierungsvorrichtung und den anvertrauten verifizierten persönlichen Identifizierungseinrichtungen der Eintragungsbedienperson. Typischerweise ist die Schwierigkeit, welcher man bei einem gut gemachten Eintragungsschema mit hoher Sicherheit begegnet, die Abhängigkeit von dem Eintragungsbeamten, welcher Nutzer eindeutig identifizieren muss, und sein Entscheidungsregime, um eine Person mit der Identitä zu verbinden, welche zuvor in der Smart Card des Individuums oder in der Systemdatenbasis gespeichert wurde.
4) Die Smart-Card-Ausgabestelle und Umgebung des Zertifizierers. In einer bevorzugten Ausführungsform beruht die Robustheit des gesamten Systems typischerweise auf der Sicherheit dieser Vorrichtungen und der Stärke ihrer kryptographischen Signaturschlüssel. Diese Ausgabestellen und Zertifizierer, welche typischerweise dieselben Einheiten sein können, aktivieren und geben Smart Cards mit der Fähigkeit aus, in jedem Untersystem erkannt und eingetragen zu werden.

In bevorzugten Informationssystemen mit einer großen Lebenserwartung ist die Sicherheit nicht abhängig von proprietären geheimen Verfahren von Transaktionen und Testung, da angenommen werden muss, dass Systemprotokolle und gemeinsam genutzte Systemgeheimnisse von Gaunern, Hackern und verstimmten Angestellten kompromittiert werden könnten. Ein geteiltes Geheimnis ist typischerweise ein herkömmlicher symmetrischer Verschlüsselungs/Entschlüsselungsschlüssel, welcher von Endgeräten und Nutzern über ein gesamtes System hinweg verwendet wird.
In 3 ist die vereinfachte Struktur einer mit öffentlichem Schlüssel geschützten biometrischen Datenakte dargestellt, mit welcher eine Einheit die authorisiet ist, der Smart Card zu befehlen, sich zu ändern (in die Akte schreiben). Die gesamte Authorisierung ist der Smart Card von dem Befehlssender unter Verwendung von Schutzverfahren mit öffentlichem Schlüssel bewiesen.
Die Anwendung wird typischerweise entweder von der Ausgabestelle oder einer Unterausgabestelle definiert, welche durch die Hauptausgabestelle der Smart Card authorisiert wird. In manchen Beispielen kann die Eintragungsvorrichtung ebenso die Hauptausgabevorrichtung sein.
Das ursprünglich gemessene Muster ist das Muster, welches wie durch die Entscheidung der Eintragungsbedienperson registriert ist. Vorzugsweise wird der Kandidat zuerst eindeutig von der Eintragungsbedienperson identifiziert, bevor ihm gestattet wird, sich dem Biotest zu unterziehen. Bei einem erfolgreichen Abschluss des Biotests werden die biometrischen Merkmale des Nutzers in die Smart Card verschlüsselt. Typischerweise wird dieser Wert lediglich von der Smart-Card-Anwendung gelesen.
Der ursprüngliche Musterschwellenwert ist ein Parameter, welcher typischerweise von dem Systemanwendungseigentümer bestimmt wird, und zwar abhängig von der Anmeldung. Typischerweise ist ein Anfangswert größer als der Schwellenwert in einer Smart Card des Nutzers als Ergebnis von Hunderten von Biotesten, welchen der Nutzer unterzogen wurde.
Typischerweise können die Schwellen und die Muster lediglich von der Smart-Card-Anwendung gelesen werden. Eine Risikomanagementprozedur davon, welche Information die Karte zu dem Endgerät übertragen kann, wird in der Anwendung von der Anwendungsausgabestelle eingestellt.
Das überarbeitete Referenzmuster ist ein optionales zweites Referenzmuster, welches das ursprüngliche Muster nach einer Periode einer Systemeinstellung ersetzen soll. Es ist bestens bekannt, dass Nutzer lernen, damit zurecht zu kommen, wie sie sich selbst dem Biotest unterziehen, und möglicherweise während der ersten Phase der Nutzung die Attribute intuitiv verändern. Es ist beabsichtigt, dass dieses Referenzmuster als eine Lernmatrix bei jedem Biotest leicht verändert werden soll, in der Annahme, dass sich die Mustergenauigkeit über die ersten Nutzungsstadien hinweg verbessert.
Der überarbeitete Referenzschwellenwert ist eine zweite, vorzugsweise kleinere Schwelle, welche verwendet werden soll, wenn man gemessene Werte mit dem überarbeiteten Referenzmuster vergleicht.
Es wird bevorzugt, die letzte Messung sowohl mit dem letzten aktualisierten Muster (380) und entweder mit dem ursprünglichen Eintragungsmuster oder dem überarbeiteten Referenzmuster 360 zu vergleichen. Typischerweise weist das letzte aktualisierte Muster 380 einen Wert auf, welcher sich vernünftig nahe an dem derzeitig gemessenen Wert befindet, und das überarbeitete Referenzmuster (360) ist typischerweise eine verbesserte Version des ursprünglichen Musters 310.
Die Nähe des derzeitigen gemessenen Werts zu dem Eintragungsmuster ist deshalb typischerweise ein Maß einer Wanderung von Attributen aus natürlichen Gründen, und die Schwefle 370 ist typischerweise größer als der ursprüngliche Musterschwellenwert 320. Die Nähe der Messung zu dem letzten aktualisierten Muster ist geringer als der letzte Musterschwellenwert 390. Der Anwendungsbeamte, dessen Identität in Feld 420 registriert werden würde, ist typischerweise qualifiziert, um den letzten Musterschwellenwert 390 anzupassen, wenn es angemessen ist, um nicht Individuen mit natürlichen Störungen zu bestrafen.
Das letzte Datum, zu dem ein Muster überarbeitet wurde, wie in Feld 400 gespeichert ist, kann als Qualitätsmaß des letzten überarbeiteten Musters dienen. Typischerweise kann dies von einem Endgerät gelesen werden und eine Wirkung auf einen Schwellenwert haben.
Der Biozähler 410 wird bei jedem Biotest inkrementiert. Wie in den 5A–5B kann dies typischerweise definieren, wann das ursprüngliche Referenzmuster 310 durch ein überarbeitetes Muster 360 ersetzt werden kann, von welchem man typischerweise annimmt, dass es genauer ist.
Ein Risikomanagement in der Karte kann typischerweise eine maximale Anzahl von Biotestzurückweisungen bestimmen, bevor eine Anwendung vor einer erneuten Eintragungsprozedur gesperrt wird.
Es wird vorweggenommen, dass bei vielen Anmeldungen, bei welchen Individuen chronische Krankheiten haben können, z.B. schwere Arthritis, oder besonders große schwankende Veränderungen, z.B. deutliche Abmessungsveränderungen wegen monatlicher Menstruation, lockerere Schwellen authorisiert werden können. Andere Anwendungen, welche eine homogenere Bevölkerung mit mehr feststehenden Attributen umfassen, und Fähigkeiten, mit einem System zurecht zu kommen, können Nutzer mit strengeren Schwellenwerten fordern, z.B. Kampfpiloten, welche Zugang zu eingeschräkte Einrichtungen haben. Bei allen derartigen Fällen wird der Anwendungsbeamte typischerweise mit einer ID-Nummer 420 in der Smart Card identifiziert. Typischerweise wird diese von dem SAM des Endgeräts gelesen.
Weitere typische zusätzliche oder alternative Attribute, welche zu einer verbesserten Risikomanagementprozedur beitragen können, sind das beste Ziel, welches von dem Individuum erlangt wird, eine Periode von Gültigkeit der Biodaten, ein Vertrauensniveau, welches dem Individuum bei einer Eintragung oder Kartenausgabe gewährt wird, die für die Qualität der Identifizierung relevant sind, z.B. ein Führerscheinfoto, eine persönliche Bekanntschaft, ein anderer biometrischer Test usw.
Die Eintragungsprozedur, wie sie in den 2A–2B dargestellt und in einem Systemsetup ausgeführt wird, wie es in den 1A und 1B konzeptionell beschrieben ist, ist zum Errichten einer festen Verbindung zwischen einem Individuum, seinen Attributen und der Smart Card des Individuums grundlegend.
Zugang zu dem Eintragungsprogramm 10, dem Computer, welcher das Programm und das biometrische System ausführt, wird typischerweise lediglich einer Eintragungsbedienperson 27 gewährt, welche ihre Identität mit einer Smart Card 25 beweisen kann und indem sie sich selbst demselben Biotest unterzieht, gemäß einer hierarchischen Prozedur mit öffentlichem Schlüssel, bei welcher die Anwendungsausgabestelle eine derartige Eintragungsperson für eine begrenzte Zeitdauer berechtigt hat, das System zu aktivieren und Nutzer einzutragen.
Die Eintragungsperson ist typischerweise charakterlich gesund, sorgfältig ausgewählt und in der Lage, eine gesunde Entscheidung bezüglich der Identität eines Kandidaten zu treffen. Die Eintragungsperson 27 ist sich typischerweise der Verantwortung bewusst, welche sie trägt, und ist sich bewusst, dass ihre Identität unabänderlich in die Smart Card 50 des Nutzers programmiert ist, und dass es wahrscheinlich ist, dass sie wegen Beihilfe angeklagt wird, sollte eine falsche Identifizierung aufgedeckt werden, und dass diese Information typischerweise für jedes Systemendgerät erhältlich ist, und dass verdächtige Karten an jedem dieser Endgeräte gesperrt werden können, sollte die ID-Nummer 340 der Eintragungsperson auf einer Verdächtigenliste platziert sein.
Eine Aufgabe eines Eintragungsbeamten/einer Bedienperson ist es, einen Kandidaten eindeutig zu identifizieren gegenüber Daten, welche zuvor in die Karte geschrieben wurden, gegenüber Identifizierungsattributen, welche zuvor von dem Beamten erfahren wurden, und allen anderen Daten, welche von dem Nutzer-Kandidaten präsentiert wurden, dessen Smart Card von dem SAM der Smart-Card-Leseeinrichtung authentifiziert wird, und die Smart Card authentifiziert das Gerät als Priorität aktiviert, welche sie berechtigt, Eintragungsdaten in die Smart Card des Nutzers zu registrieren.
Sobald der Kandidat-Nutzer von dem Beamten identifiziert wurde, unterzieht er sich dem biometrischen Test, während sich die Smart Card 50 des Kandidaten in dem Lesegerät befindet. Die biometrische Vorrichtung 40 nimmt typischerweise mehrere eng korrelierte Lesungen vor, bevor sie ein ursprüngliches Muster errichtet.
Beim Abschluss des Biotests überträgt das Endgerät die Daten, damit sie aufgezeichnet werden, vorzugsweise verschlüsselt, damit sie in der Anwendungsdatei der Smart Card aufgezeichnet werden. Die Smart-Card erkennt, dass die Daten aufgezeichnet wurden und die Eintragungsbedienperson entfernt die Smart Card des Nutzers aus dem Smart-Card-Endgerät.
In einer bevorzugten Ausführungsform kann die Eintragungsprozedur nicht stattfinden, bis nicht die Beamtenkarte 25 ausdrücklich von dem System abgefragt wurde, welche in die einzelne Leseeinrichtung wie in 1B vor der Akzeptanz eines Kandidaten eingeführt worden ist, oder wenn sie in dem Smart-Card-Endgerät des Beamten während der Phase des Akzeptierens von Kandidaten verbleibt.
In einem typischen System ist die Eintragungsmaschine speicherlos, was die Eintragungsdaten betrifft. Typischerweise verbleiben keine vertraulichen Daten im Klartext, aber können in einer verschlüsselten Form an ein zentrales Depot archiviert werden.
In den 1A und 1B nicht dargestellt ist eine zusätzliche Verbesserung, um sicherzustellen, dass der Eintragungsbeamte den biometrischen Biotest in befriedigender Weise abgewartet hat, und dass der Nutzer 45 seine eigenen lebenden Körperteile in die Registrierungsvorrichtung eingeführt hat. Drei feststehende Videokameras könnten gleichzeitig die Bilder des Eintragungsbeamten, des einzutragenden Nutzers und des Körperteils aufnehmen, welches Gegenstand des Tests ist. Dieses Bild könnte dann digitalisiert und in den Datenabschnitt eines sicheren Archivs eingegliedert werden.
Ein Verfahren zum Registrieren eines gesicherten Archivs ist in dem US-Patent 5.664.107 an Gressel und Dror gezeigt.
Systeme mit öffentlichem Schlüssel sind typischerweise mit einer Verdächtigenauflistung ausgestattet, welche vorzugsweise in drei Klassen eingeteilt ist: verdächtige Nutzer, verdächtige Geräte und verdächtige Anwendungsausgabestellen.
Typischerweise ist das wichtigste Element, die in einem biometrischen Erfassungssystem gesichert sein sollte, die Schnittstelle zwischen den Rohdaten, z.B. den Signalen zu und von einer Tastatur oder den Datensignalen von einer optischen biometrischen Vorrichtung, und das SAM oder die Smart Card, welche definiert ist, um eine Entscheidung von derartigen Daten zu verarbeiten. Wie in dem Beispiel von Tastaturen von Magnetstreifenkreditkarten-Annahmestellen werden derartige Daten typischerweise an der Quelle verschlüsselt und zum Verarbeiten an eine gesicherte Umgebung übertragen. Dieses Konzept ist in 4 dargestellt.
In dem in 6 dargestellten allgemeinen Schema werden gegenseitige Endgerät- und Smart-Card-Übertragungen ausgeführt, authentifiziert und eine Verantwortung akzeptiert ohne jegliche Daten, welche die Smart Card, den Smart-Card-Nutzer oder die Transaktionsdaten identifizieren, die im Klartext an der Schnittstelle zwischen der Smart Card und dem Gerät erscheinen. Unter der Annahme, dass die Stärke der DES-Prozedur (typischerweise Triple DES/Dreifach-DES) so robust ist wie die RSA-Prozedur, ist diese Prozedur so stark wie eine ähnliche Gesamt-RSA-Signaturprozedur, bei welcher alle Daten im Klartext übertragen werden. Da Endgerätdaten in dem Endgerät SAM verarbeitet werden, kann eine Strategie von dem Systemintegrator bestimmt werden, bezüglich welcher Daten in dem Gerät archiviert werden können, und welche Daten für eine Übertragung zu einer Übertragungserfassungsstelle verschlüsselt werden können und welche Daten im Klartext geschickt werden können.
Vereinfacht ausgedrückt ist dies eine Variation einer RSA-Übertragung, bei welcher ein Sensor eines Hackers hinsichtlich der Schnittstelle zwischen der Smart Card und dem Endgerät lediglich die öffentlich bekannte Identität des Endgeräts liefert. Die Übertragungsinformationen, welche in dem Gerät archiviert sind, können einige oder alle der Übertragungsdetails umfassen, aber umfassen vorzugsweise keine biometrischen Informationen (Passwörter, PIN-Nummern oder Biotests). Die Hauptzeit, welche den Overhead einer herkömmlichen RSA-Übertragung verbraucht, ist unverändert, da es zwei Parteien und zwei Sätze von Transformationen gibt, welche an dem Schlüsselpaar jeder Partei ausgeführt werden, eine Potenzierung mit einem geheimen Schlüssel und eine Potenzierung mit dem öffentlichen Exponent. Der einzige zusätzliche Overhead ist die DES-Verschlüsselung von Blöcken von Übertragungsdaten. Typischerweise beträgt diese weniger als 5 % der Übertragungszeit.
Die Verhandlungsprozedur, wie sie in 6 gezeigt ist, beginnt typischerweise damit, dass die Smart Card eine Anfrage startet, um eine Übertragung mit einem Endgerät SAM auszuführen, welches mit dem gegebenen Zahlungs/Übertragungsschema übereinstimmt. Diese Anfrage ist im Klartext und identifiziert nicht die Smart Card oder seinen Nutzer. Beachten Sie, dass zum Zwecke der Klarheit gelegentlich "Endgerät-SAM" spezifiziert wird, aber öfter der Begriff "Endgerät" verwendet wird, unter welchem verstanden werden soll, dass alle vertraulichen Informationen und alle kryptographischen Funktionen innerhalb des SAM ausgeführt werden.
Das Gerät gibt seine statische Identifizierung zurück, welche ihren öffentlichen Schlüssel umfasst, wofür es eine Zufallsabfrage verknüpft, und mindestens das Datum und die Tageszeit. Aus diesen Daten kann die Smart Card die Existenz eines Endgeräte-SAMs authentifizieren und eine richtige Abfrage an das Endgerät vorbereiten.
Die Smart Card, welche typischerweise der einzige Partner des Unternehmens ist, welcher derart motiviert ist, dass es Vertraulichkeit aufrechterhält, bereitet eine Zufallsnummer vor (einen DES-Sitzungsschlüssel für die Übertragungssitzung), welche sie in ihre Nachricht an das Endgerät einschließt. In die Sequenz, welche die Smart-Card RSA-verschlüsselt, C1, und zwar an das Endgerät, indem sie den öffentlichen Schlüssel des Endgeräts verwendet, schließt sie eine Verknüpfung des DES-Schlüssels und eine Kontrollsumme ihrer eigenen ID, ihren eigenen öffentlichen Schlüssel und die Abfrage ein, welche sie von dem Endgerät empfängt.
Das Endgerät weiß nun, dass es eine frische Nachricht ist, da sie seine Zufallsabfrage enthält, und hat nun einen gemeinsamen geheimen Schlüssel, welcher für einen Datenaustausch mit der Smart Card verwendet wird. Das Endgerät weiß immer noch, dass es die Gültigkeit der Smart Card nicht beweisen kann.
Die Smart-Card schreitet voran, um C2 unter Verwendung des neuen gemeinsam genutzten DES-Schlüssels zu verschlüsseln. Sie sendet ihren öffentlichen RSA-Schlüssel, ihr Zertifikat, ihre ID und weitere Übertragungsinformationen. Mit diesen Informationen kann das Endgerät SAM nun den öffentlichen Schlüssel des Nutzers extrahieren und die Mitgliedschaft des Nutzers und den Status in der Verschlüsselungsgemeinschaft beweisen.
Unter Verwendung des gemeinsam genutzten DES-Schlüssels verschlüsselt das Endgerät SAM nun die Informationen, welche es gesammelt hat, um bei der Aktivierung der Smart Card behilflich zu sein und um eine Signatur auf einer allgemeinen Verpflichtung oder auf einem Scheck bei Zahlung eines spezifizierten Werts anzufragen. Bei diesem Stadium besteht eine geringe Gefahr, dass ein Hacker vielleicht wissen möchte, welche seine biometrischen Daten sind. Sollte er mit dem Verfahren bekannt sein und die proprietären Informationen verstehen, wäre er in der Lage gewesen, jedes Stadium bis zu diesem letzten vorzutäuschen, um den Biotest zu erhalten, welcher an seinem Subjekt ausgeführt worden war. Wenn derartige Informationen als empfindlich betrachtet werden, kann die C3-Verschlüsselung mit einer RSA-Verschlüsselung an die Smart Card ersetzt werden, indem der öffentliche Schlüssel der Smart Card verwendet wird. Dies würde viel zeitaufwändiger sein.
Die Smart Card entschlüsselt nun die Daten von dem Endgerät und kann die Nähe des Biotests zu den Referenzmustern berechnen, die PIN-Nummer mit der in ihrem Speicher gespeicherten Nummer vergleichen und das letzte Referenzmuster aktualisieren.
Die Smart-Card kann nun, nachdem sie ein Risikomanagement durchgeführt hat, die Verpflichtung/Übertragung signieren und ihre Börse inkrementieren oder dekrementieren, wenn ein Wert zu oder von der Smart Card zu oder von dem Gerät übertragen würde. Im Allgemeinen gibt es mehr Daten als in einer einzelnen Signatur umfasst sein können, und die neuen Daten sind mit dem DES-Schlüssel verschlüsselt übertragen, werden dann mit all den relevanten Übertragungsdaten gehasht und wie in 6 signiert. Die Smart Card schließt versuchsweise die Übertragung. Sollte die Übertragung unterbrochen werden, kann eine finale Vereinbarung mit dem Gerät geschlossen werden oder mit der Ausgabestelle zu einem späteren Zeitpunkt vereinbart werden.
Das Gerät empfängt die Daten, welche eine Werteübertragung für den Fall umfassen können, dass das Endgerät SAM seine Börse abgleicht und Daten archiviert, wie es von seinem System vorgeschrieben ist.
Das Gerät sendet eine Bestätigung und die Smart Card schließt ihre Übertragung.
Es wird verstanden, dass die Softwarekomponenten der vorliegenden Erfindung, falls gewünscht, in einer ROM-Form (Read-Only Memory/Nur-Lese-Speicher) implementiert werden können. Die Softwarekomponenten können im Allgemeinen in einer Hardware implementiert werden, falls gewünscht unter Verwendung herkömmlicher Methoden.
Es wird verstanden, dass verschiedene Merkmale der Erfindung, welche zum Zwecke der Klarheit in den Kontexten von getrennten Ausführungsformen beschrieben sind, ebenso in Kombination in einer einzigen Ausführungsform bereitgestellt sein können. Umgekehrt können verschiedene Merkmale der Erfindung, welche zum Zwecke der Kürze in dem Kontext einer einzelnen Ausführungsform beschrieben sind, ebenso getrennt oder in jeder geeigneten Unterkombination bereitgestellt sein.
Fachleute werden verstehen, dass die vorliegende Erfindung nicht darauf beschränkt ist, was hier oben besonders gezeigt und beschrieben wurde. Vielmehr ist der Rahmen der vorliegenden Erfindung lediglich durch die folgenden Ansprüche definiert.

Claims

Biometrisches System, welches eine wandernde biometrische Eigenschaft von Individuen offenbart, wobei das System umfasst: eine Quelle biometrischer Information, welche wenigstens ein erstes und ein zweites Muster wenigstens einer wandernden biometrischen Eigenschaft für jede aus einer Population von Individuen speichert, wobei das erste Muster eine Referenzprobe einer biometrischen Eigenschaft eines Individuums ist und wobei das zweite Muster anfänglich von dem ersten Muster abgeleitet ist; sowie eine Quellenpflegeeinrichtung, welche in Betrieb ist, um ein erstes und ein zweites Muster eines Individuums mit einer frischen Probe zu vergleichen, welche durch das Individuum bereitgestellt ist, und dann, wenn herausgefunden wird, dass die frische Probe dem ersten und dem zweiten Muster ausreichend ähnelt, das zweite Muster zu modifizieren, sodass es Unterschiede zwischen der Referenzprobe und der frischen Probe berücksichtigt.
Biometrisches System nach Anspruch 1, wobei die Quelle für jedes Individuum eine Information zur Identifikation einer Eintragungs-Bedienperson speichert, welche einen Eintragungsbeamten identifiziert, der der Offenbarung der Probe von dem Individuum vorstand.
System nach Anspruch 1 oder Anspruch 2, wobei die Quelle biometrischer Information in einer Population von tragbaren digitalen Informationsaufnahmen ruht, welche jeweils durch die Population von Individuen mitgeführt wird, wobei das System ferner umfasst: ein Informationsaufnahmeendgerät, welches arbeitet, um eine frische Probe von einem Individuum aus der Population von Individuen abzuleiten und eine Wechselwirkung mit der von dem Individuum mitgeführten tragbaren digitalen Informationsaufnahme auszuführen, und wobei die Wechselwirkung einen offenen Abschnitt und einen geschützten Abschnitt umfasst, und wobei der offene Abschnitt das Individuum, welches die Aufnahme mit sich führt, nicht identifiziert.
System nach Anspruch 3, wobei der geschützte Abschnitt eine öffentlich bekannte Identität der tragbaren digitalen Informationsaufnahme umfasst.
System nach Anspruch 3 oder Anspruch 4, wobei die Informationsaufnahme eine Smart Card umfasst.
System nach einem der Ansprüche 3 bis 5 und wobei der geschützte Abschnitt eine Übertragung eines Werts von einem durch die Informationsaufnahme gesteuerten Konto zu einer Wertdestination umfasst, wobei die Übertragung eine Verpflichtung der Informationsaufnahme gegenüber dem Endgerät umfasst, dass der Wert an die Wertdestination zu übertragen ist.
System nach einem der Ansprüche 3 bis 6, wobei der geschützte Abschnitt durch ein symmetrisches kryptographisches Schema und ein asymmetrisches kryptographisches Schema geschützt ist.
System nach Anspruch 1 oder Anspruch 2, wobei die biometrische Eigenschaft wenigstens eine aus den folgenden Eigenschaften umfasst: eine einem Individuum bekannte Information; einen von einem Individuum besessenen Gegenstand; und ein physiologisches Merkmal eines Individuums.
Biometrisches Verfahren, welches eine wandernde biometrische Eigenschaft von Individuen offenbart, wobei das Verfahren umfasst: Speichern von wenigstens einem ersten und einem zweiten Muster von wenigstens einer wandernden biometrischen Eigenschaft für jedes aus einer Population von Individuen, wobei das erste Muster eine Referenzprobe einer biometrischen Eigenschaft eines Individuums ist und das zweite Muster anfänglich von dem ersten Muster abgeleitet wird; und Vergleichen eines ersten und eines zweiten Musters des Individuums mit einer von dem Individuum bereitgestellten frischen Probe, und dann, wenn herausgefunden wird, dass die frische Probe dem ersten und dem zweiten Muster ausreichend ähnelt, Modifizieren des zweiten Musters derart, dass es Unterschiede zwischen der Referenzprobe und der frischen Probe berücksichtigt.