CN102611693A - 高延迟低带宽环境中网络备份数据解密的系统和方法 - Google Patents

Abstract

一种在低带宽网络上有效传输加密数据的系统和方法。一个备份服务器和一个客户端计算机通过一个第一网络相互连接。这个备份服务器通过另一个网络(如互联网，也称之为云)连接至一个远程数据存储装置。这个备份服务器对从这个客户端计算机接收的用于备份的数据进行加密。可以选择密码段和子段大小，这些密码段和子段的大小在一个字节界上相互对齐并且与这个远程数据存储装置上的备份软件所用的选定备份段和子段的大小相对齐。所选的密码算法具有的特性是通过最初对具有相同加密的子段大小的一个直接在前的保护子段进行解密而允许具有该加密的子段大小的一个给定的保护子段被解密。因此，通过云传输的数据的大小可以是小于密码段的大小。

Description

高延迟低带宽环境中网络备份数据解密的系统和方法

技术领域

本发明涉及计算机网络领域，并且更具体地涉及在低带宽网络上有效传输加密数据。

背景技术

随着计算机存储器和数据带宽的增加，商业上日常处理的数据的数量和复杂度也在增长。这些数据中的大部分包括电子文档、公告、任务、讨论主题等等。根据这种信息的商业价值，对某些信息的访问可以是安全的并且是私密的。可以将信息服务器的内容和终端用户系统备份到一个备份存储装置中以防止数据丢失，尤其是被标识为重要数据的数据。在这种情况中，专用服务器和存储子系统可以包括一个备份系统。备份系统尝试减少数据量以及对数据进行备份的时间从而保护机器。

为了使得信息技术(IT)管理员集中管理公司信息以及雇员和客户的计算支持，IT管理员可以利用数据中心。数据中心是一种集中化的存储库，它是物理的亦或虚拟的用于存储、管理、保护和分发公司信息。数据中心还可以称为服务器机房或服务器群。然而，IT管理员有时会选择避免基本建设费用并短期地或长期地租用一个或多个服务器计算机系统。这类商业活动会消费第三方远程位置上的资源(作为一种服务)并只对实际消费的资源进行付费。实例包括教育教室服务、对潜在用户或买主的软件展示、网站服务器应用、数据保护等等。

上述计算类型可以称之为云计算，其中第三方远程位置上的动态可扩展的并且经常虚拟化的资源是通过网络(如互联网)提供使用的。云计算提供按需采购、低廉的经济成本以及应用移动性。例如，应用软件和相应的数据可以存储在远程位置上，但可以从网页浏览器访问应用程序。软件应用的云计算实现允许企业通过互联网来访问应用程序，而无需知道支持应用程序的基础架构或对其进行控制。对于远程访问，首要考虑的内容包括远程访问软件和网络接口。

IT管理员可以开发一种管理系统以用于数据备份和数据保护；数据恢复、还原、和重启；归档和长期保存；以及管理存储装置体系结构所必需的日常处理和程序。这种管理系统可以将某些策略应用到信息的有效管理上。管理系统可以支持云插件以便能够将备份数据流写到云计算系统内部的远程数据存储位置上。这些数据流通常非常大，目的是使目录和跟踪负担最小化。另外，这些数据流典型地是经过加密的，以进行保护。高延迟和低带宽特性是包括广域网(WAN)的云计算系统的典型特征。在这种环境中，用于备份和恢复操作的数据传输会较慢并且降低了利用云计算解决方案的效益。

鉴于上述内容，在低带宽网络上有效传输加密数据的改进系统和方法是所希望的。

发明内容

在低带宽网络上有效传输加密数据的系统和方法。

在一个实施方案中，计算系统包括经由一个网络(如局域网(LAN))相互连接的一个备份服务器和一个客户端计算机。备份服务器经由另一个网络(如互联网)连接至远程数据存储装置。这类其他网络可以称之为云。远程数据存储装置可以包括一个档案存储区。当客户端计算机向备份服务器发送对所选数据的备份请求时，备份服务器对从客户端计算机接收的数据进行加密。可以选择密码段和子段大小，在字节界上密码段和子段大小彼此对齐并且与所选备份段和子段大小对齐。因此，这些段各自的起点都与另一个段的起点对齐。除了由远程备份存储装置上的软件使用外，备份段和子段大小可以用于在备份服务器和远程数据存储装置之间经由云进行数据传输。所选密码算法可以具有这样的特性：通过利用一个具有相同密码子段大小的直接在前的加密的子段而允许一个具有该密码子段大小的给定的子段被解密。例如，一个给定的128千字节(KB)密码段可以包括4,096个32字节的加密的子段。可以利用具有在前偏移指数6的一个第二32字节密码子段或者利用直接在该给定32字节密码子段之前的32字节密码子段对具有偏移指数7的给定32字节的密码子段进行解密。这种自加密的在前32字节密码子段可以用作密钥以便对给定的32字节密码子段进行解密。因此，完整的128KB的密码段不用于对给定的32字节加密的子段进行解密。

在加密数据经由云发送到远程数据存储装置后，客户端计算机随后可以请求还原所备份的数据。如果所请求数据的一部分小于密码段的大小，例如128KB密码段，那么该远程数据存储装置可以经由云发送更小大小的块。例如，可以发送具有备份子段大小(如1KB大小)的一个或多个块。备份服务器可以对备份子段(例如1KB子段)的每一个内部的一个或多个加密的子段(如32字节子段)进行解密。然后可以将解密后的数据传送到客户端计算机。

这些以及其他实施方案将参见以下描述和附图得到理解。

附图说明

图1是一个通用框图，展示了网络体系结构的一个实施方案。

图2是一个通用流程图，展示了有效备份操作方法的一个实施方案。

图3是一个通用框图，展示了包括一个密码子段和一个备份子段的子段单元的一个实施方案。

图4是一个通用框图，展示了包括一个密码段和一个备份段的段单元的一个实施方案。

图5是一个通用框图，展示了密码段的一个实施方案。

图6是一个通用流程图，展示了用于对数据进行备份的方法的一个实施方案。

图7是一个通用流程图，展示了识别并接收还原数据的方法的一个实施方案。

图8是一个通用流程图，展示了对网络上接收的还原数据进行解密的方法的一个实施方案。

尽管很容易做出各种修改和更改，但通过实例在附图中示出了具体实施方案并且在本文详细描述。然而应当理解的是，附图以及对其详细描述无意将本发明限制于所披露的具体形式，相反的是，本发明意在涵盖所附权利要求定义的本发明精神和范围之内的所有修改形式、等同体以及更改形式。

具体实施方式

在以下描述中，给出了很多具体细节以提供对本发明的透彻理解。然而，本领域普通技术人员应当认识到可以在没有这些具体细节的条件下实施本发明。在一些实例中，未详细示出众所周知的电路、结构、信号、计算机程序指令、以及技术，以避免混淆本发明。

本文描述了在低带宽网络上有效传输加密数据的方法和系统的各种实施方案。参见图1，所示的通用框图展示了网络体系结构100的一个实施方案，该网络体系结构包括在低带宽网络上有效传输加密数据的能力。如图所示，网络体系结构100包括通过局域网180相互连接并连接至备份服务器150的客户端计算系统110a至110c。网络180可以包括各种技术，这些技术包括无线连接、直接局域网(LAN)连接、广域网(WAN)连接(如互联网)、路由器、以及其他连接。网络180可以包括一个或多个LAN，这些LAN也可以是无线的。网络180可以进一步包括远程直接内存访问(RDMA)硬件和/或软件、传输控制协议/互联网协议(TCP/IP)硬件和/或软件、路由器、中继器、交换机、网格、和/或其他设备。在网络180中可以使用以下协议：如光纤通道、以太网光纤通道(FCoE)、iSCSI等等。

客户端计算机系统110a至110c代表任意数量的静态或移动计算机，如桌上个人计算机(PC)、服务器、服务器群、工作站、膝上计算机、手持式计算机、服务器、个人数字助理(PDA)、智能电话等等。一般而言，客户端计算机系统110a至110c包括一个或多个处理器，这个或这些处理器包括一个或多个处理器核。每个处理器核包括根据预定的通用指令集来执行指令的电路。例如，可以选择x86指令集体系结构。可选择地，可以选择

或者任意其他通用的指令集体系结构。处理器核可以根据数据和计算机程序指令而访问高速缓存器子系统。高速缓存器子系统可以连接至一个存储器层级，该存储器层级包括随机存取存储器(RAM)和存储装置。

客户端计算机系统内部的每个处理器核和存储器层级可以连接至网络接口。除了硬件组件外，客户端计算机系统110a至110c各自可以包括存储在存储器层级内部的基本操作系统(OS)。该基本OS可以代表各种操作系统中的任意一种，例如MS-

MS-

OS/

DART、或者其他操作系统。例如，基本OS可操作用于向终端用户提供各种服务并且可以提供软件框架，该软件框架可操作用于支持各种程序的执行。另外，客户端计算机系统110a至110c各自可以包括用于支持虚拟机(VM)的监控程序。本领域技术人员众所周知的是在桌面计算机和服务器中可以利用虚拟化来完全地或部分地从系统的硬件上分离软件(如OS)。

备份服务器150可以通过交换机130连接至第二网络190。网络190可以是互联网或其他外侧网络。可替代地，网络180可以经由一个或多个交换机连接至网络190。交换机130可以利用与网络180和190相关联的协议。网络180和备份服务器150可以与一组用于互联网的通信协议(如传输控制协议(TCP)和互联网协议(IP)，或TCP/IP)相对接。交换机130可以是TCP/IP交换机。

存储装置160a至160b可以用于存储网络体系结构100内部数据的副本。存储装置160a至160b可以包括或进一步连接至若干种类的存储装置，这些存储装置由一个或多个硬盘、磁带驱动器、刀片服务器、固态磁盘(SSD)、或者专用装置组成，并且可以包括各种存储装置，如RAM、闪速RAM、MEMS(微电子机械系统)存储装置、电池备份RAM、和/或非易失RAM(NVRAM)等等。存储装置162a至162b可以用于存储在装置160a至160b上存储的数据的副本。存储装置162a至162b可以包括所列出的用于存储装置160a至160b的一个或多个存储器装置。

在一个实施方案中，网络体系结构100中的远程共享存储服务器120a至120b可以创建客户端计算系统110a至110c上文件的副本以保护数据。另外，客户端计算系统110a至110c和/或备份服务器150上的备份代理可以确定数据对象何时有资格被存档。云服务140内部的服务器120a至120b可以是经由互联网网络190访问的离站服务器。远程共享存储服务器120a至120b可以按需求向客户端计算系统110a至110c提供软件和数据。客户端计算系统110a至110c的用户可以不知道或不控制云服务140内部的技术基础架构。这可以称为云计算。在一个实施方案中，云计算是基于互联网的计算。简单的实例包括具有基于网络的电子邮件服务的电子邮件账户，如Hotmail、Yahoo！Mail或Gmail。用于电子邮件账户的软件和存储器并不存在于客户端计算系统110a至110c上，而是存在于客户端服务140内部。由于并不拥有物理基础架构(如在站数据中心)，云计算客户通过从第三方提供商租用使用权来避免基本建设费用。

网络服务典型地是一种应用程序接口(API)或网络API，通过超文本传输协议(HTTP)可以访问并且在托管所请求的服务的远程系统(如服务器120a至120b以及备份服务器150)上执行该API或网络API。网络服务支持网络上的互操作性的机器到机器交互。它具有所描述的机器处理格式的接口(如网络服务描述语言(WSDL))。云体系结构典型地包括通过应用程序接口(如网络服务)相互通信的多个云组件。

现在返回至备份服务器150，备份服务器150可以包括备份应用158。备份应用158、或“备份管理器”可以包括存储在存储器170上并且由处理器174可执行的程序指令以执行一个或多个备份操作。备份操作可以包括例如在计算机系统上或从一个计算机系统到另一个系统创建部分或完全备份；在计算机系统上或从一个计算机系统到另一个系统执行还原功能(例如部分或粒度还原功能或完全还原功能)；备份操作还可以包括其他操作。可以确定一个生命周期内的备份和复制操作的策略以用于数据影像。例如，这些策略可以包括确定分层存储装置中的层级数量、存储媒质的类型和数量、使一个影像存储在给定存储媒质上的时间长度、每天阻止特定操作的小时、等等。

备份系统代理可以辅助备份服务器150上的备份管理器158。备份管理器158可以被配置为用于创建卷影像备份。在一些实施方案中，备份管理器158可以接收用户输入，该用户输入指示备份管理器158创建一个特定系统的卷影像备份。在一些实施方案中，备份管理器158可以自动地创建一个特定系统的卷影像备份，例如，可以安排备份管理器执行一个特定系统的定期备份。作为创建备份的一部分，备份管理器158还可以创建与备份数据相关联的目录元数据156。

备份管理器156在备份操作过程中创建的目录元数据156可以包括以下内容中的至少一项或多项：数据名称、数据大小、数据指纹、批号，以及数据类型、版本号、所有权、权限、修改时间、备份段和子段标识符、密码段和子段标识符、错误代码等等。批号可以用于标识特定的备份操作，在该备份操作中创建相关联的备份项。元数据和/或标识符的其他形式对本领域普通技术人员是显而易见的。例如目录元数据156可以随后用于还原浏览。例如，备份存储装置160a至160b和档案存储装置162a至162b中的已存信息的数据布局可以存储在目录156中。

在一个实施方案中，备份服务器150包括文件系统154，该文件系统作为用于数据的存储、组织、操作、以及恢复的专用数据库而运行。通过作为网络协议的客户端而运行，文件系统154可以提供数据访问。可替代地，文件系统154可以是虚拟的并且只作为虚拟数据的访问方法而存在。

应当注意的是在替代实施方案中，客户端计算机和服务器、交换机、网络和共享存储装置的数量以及类型不限于图1所示的那些。在不同的时刻，一个或多个客户端可以离线运行。另外，在操作过程中，单独的客户端计算机连接类型可以随着用户连接、断开连接、以及重新连接至网络体系结构100而变化。

现在转到图2，所示的通用流程图展示了有效备份操作的方法200的一个实施方案。网络体系结构100中呈现的组件通常可以根据方法200而运行。应当注意，为了讨论的目的，顺序地描述方法200的实施方案中的步骤。然而，一些步骤能够以不同于所示步骤的顺序出现，一些步骤可以同时执行，一些步骤可以与其他步骤合并，并且一些步骤在另一个实施方案中可以不出现。

在方框202中，为客户端计算系统110a至110c上的数据确定备份和复制操作的策略。如前所述，策略可以包括确定分层存储装置中的层级数量、存储媒质的类型和数量、使一个影像存储在给定存储媒质上的时间大小、每天阻止特定操作的小时、根据计划执行备份和复制操作的当天的小时数等等。

在方框204，选择备份段和子段大小。这些大小可以确定在备份服务器150和云服务140之间传输的数据量。将非常大的备份段写到云服务140的能力可以降低元数据开销支持。在一个实施方案中，备份段大小的范围可以从1KB到256KB。备份子段大小可以根据对应于还原请求的期望数据大小来选择。客户端计算系统110a至110c之一可以发送还原请求至备份服务器150。备份服务器150发送相应的请求至云服务140以用于所请求的数据。所请求的数据从云服务140传送至备份服务器。在一个实施方案中，备份子段大小可以与备份段大小相同。然而，对应于还原请求的数据大小典型地可以小于备份的或存档的数据量。在另一个实施方案中，当备份段大小是256KB时，备份子段大小的范围从1KB到128KB。

密码可以用于保护在备份服务器150和云服务140之间传输的数据。密码可用于防止数据被浏览或修改并且在其他方面不安全的通道上提供安全通信。例如，密码可以保护用户身份、防止数据被更改，并且确保数据源自特定的参与方。可以利用所选择的密码算法对数据进行加密。数据可以在加密的状态下进行传输，并且此后由预期的接收者解密。如果第三方拦截了加密数据，可能很难进行解密。

密码可以使用对称加密或非对称加密。在对称加密中，密钥(可以是一个数字、一个单词、或一串随机字母)应用于消息文本上以便以特定方式改变内容。在非对称加密中，使用密钥对来保护数据。公钥可以自由创建以用于发送数据。以公钥加密的消息(如文本、二进制文件、文档等等)可以通过应用相同的所选密码算法进行解密，但是利用的是匹配的私钥。同样，以私钥加密的消息可以利用相同的算法并使用公钥进行解密。

为了最小化密码元数据量以进行保存，在加密过程中可以不填补数据。数据的大小和产生的密码段的大小并不因为填补而增加。另外，当选择密码算法时，选择标准可以包括这样一个特性：通过利用一个具有相同密码子段大小的直接在前的加密的子段而允许具有该密码子段大小的给定的保护子段被解密。例如，一个给定的128KB密码段可以包括4,096个32字节密码子段。可以利用具有在前偏移指数6的在前第二32字节密码子段对具有偏移指数7的给定32字节密码子段进行解密。这种在前32字节密码子段(自加密)可以用作密钥以便对给定的32字节密码子段进行解密。因此，整个128KB的密码段不用于对具有指数7的给定32字节密码子段进行解密。在一个实施方案中，可以选择名为AES-256-CFB的密码算法这种算法使用高级加密标准(AES)对称密钥加密标准，密码段大小为256KB，并且具有密码反馈模式特征。

返回到方法200，在方框206，确定密码段和子段大小，以便大小值与备份段和子段大小相一致。例如，可以选择32字节的密码子段大小。另外，可以选择256KB的密码段大小。这些大小在字节界上彼此对齐。而且，对于256KB和1KB的备份段和子段大小，密码大小也对齐。另外，这些段各自的起点与其他段的起点相对齐。密码段的起点与备份段的起点相对齐。在另一个实施方案中，密码大小和备份大小并不对齐。在这种情况中，在进行加密、解密以及向并且从云服务140传输数据时可以执行进一步的计算以便访问相应的数据。进一步的计算可以确定在一个对应地操作过程中将使用每种类型的多少段和子段。在方框208，可以选择具有在密码子段层级上进行解密的特性的密码算法。这种密码算法的一个实例是上述AES-256-CFB。

现在参见图3，所示的通用框图展示了包括密码子段302和备份子段306的子段单元300的一个实施方案。如图所示，密码子段302具有大小304。在一个实施方案中，子段大小304为32字节。在一个实施方案中，备份子段306包括整数倍的密码子段302a至302d。因此，备份子段大小308是大小304的整数倍。在一个实施方案中，备份子段大小308是1KB。在所示实例中，密码子段302和备份子段306是字节对齐的。另外，在另一个实施方案中，备份子段大小308可以不是大小304的整数倍。在这种情况中，当进行加密、解密并且向并且从云服务140传输数据时可以执行进一步的计算以确定在一个对应的操作过程中使用的备份子段306的数量以及密码子段302的数量。

现在参见图4，所示的通用框图展示了包括密码段402和备份段406的段单元400的一个实施方案。如图所示，密码段402具有大小404。在一个实施方案中，密码段大小404为128KB。在一个实施方案中，密码段406包括一个或多个备份子段306a至306d。如前所示，每个备份子段可以包括一个或多个密码子段302a至302d。相应地，每个密码段406包括一个或多个密码子段302。因此，密码段406、备份子段306以及密码子段可以是字节对齐的。密码段大小可以是用于加密的最小单位大小。密码子段大小可以是用于解密的最小单位大小。

在一个实施方案中，备份段406包括一个或多个密码段402a至402d。因此备份段大小是大小404的整数倍。在一个实施方案中，备份段大小是256KB。在这种情况中，备份段大小是密码段大小404(128KB)的两倍。在一些实施方案中，备份段大小和密码段大小是相等的。例如，这些大小中的每一个都是256KB。在所示实例中，备份段406和密码段402是字节对齐的。而且，备份子段306和密码子段302彼此字节对齐并且与段402和406中的每一个是字节对齐的。另外，在另一个实施方案中，备份段大小可以不是密码段大小404的整数倍。而且，子段大小彼此之间或者与段大小可以不是字节对齐的。在这种情况中，当进行加密、解密并且向并且从云服务140传输数据时可以执行进一步的计算以确定在一个对应的操作过程中使用的段以及子段的数量。

现在参见图5，所示的通用框图展示了密码段402的一个实施方案。密码段402可以与备份子段306和密码子段302字节对齐。可以使用初始化矢量502对保存在密码段402中的数据进行加密。每个密码段402可以有自己的矢量502。根据所选密码算法，初始化矢量502可以是公钥或私钥。矢量502可以用于对密码子段302a进行加密。此后，加密的子段302a可以用于对子段302b进行加密。接着，加密的子段302b可以用于对子段302c进行加密，以此类推。在这种情况下，可以利用加密的子段302b以相同的算法对加密的子段302c进行解密。同样，可以利用加密的子段302a对加密的子段302b进行解密。利用初始化矢量502对加密的子段302a进行解密。

现在转到图6，所示的通用流程图展示了备份数据的方法200的一个实施方案。网络体系结构100中呈现的组件通常可以根据方法200来运行。应当注意，为了讨论的目的，顺序地描述了方法200的这种实施方案中的步骤。然而，一些步骤能够以不同于所示步骤的顺序出现，一些步骤可以同时执行，一些步骤可以与其他步骤合并，并且一些步骤在另一个实施方案中可以不出现。

在方框602，确定在客户端计算系统110a至110c之一上存储的有资格备份的一个或多个数据对象。可以使用备份策略、用户输入、或其他方式来做出这个决定。在方框604，在一个实施方案中，将与具有资格的数据对象相对应的元数据和内容数据发送至备份服务器150。在另一个实施方案中，客户端计算系统110a至110c中的一个或多个包括软件(如插件)以便与云服务140直接进行对接。

在方框606，利用所接收的、与有资格的数据对象相对应的元数据对备份信息的目录进行更新。在方框608，备份服务器150利用所选的密码算法对所接收的内容数据进行加密。在一个实施方案中，密码段大小与备份写和密码、或者解密、子段大小字节对齐。在方框610，将加密数据发送至远程数据存储装置，例如云服务140内部的远程共享存储服务器120a至120b之一。

现在转到图7，所示的通用流程图展示了识别并接收还原数据的方法700的一个实施方案。在方框702，备份服务器150可以从客户端计算系统110a至110c之一接收还原请求。还原请求可以标识在客户端计算系统110a至110c中正在请求的一个客户端计算系统上先前存储的选择数据。在方框704，备份服务器150可以检查目录并确定所选数据以唯一标识符存储在一个或多个给定的备份段以及子段中。在方框706，备份服务器150可以标识包含所选数据的最后一个备份段以及存储所请求的数据的末端的最后一个备份子段。

在方框708，备份服务器150可以将对最后一个备份段之前的任意所选备份段的请求发送至云服务140内部的远程数据存储装置。在方框710，在相同的请求内或独立的请求内，备份服务器150可以从云服务140内部的远程数据存储装置中请求最后一个备份段中的最后一个备份子段以及在前子段。在此，备份服务器150可以不请求完整的最后一个备份段以获得所请求的还原数据。例如，如果所请求的还原数据包括最后一个备份段内的备份子段0至4，那么备份服务器150可以请求这五个备份子段而不是完整的备份段。分别利用256KB和1KB的段和子段大小，备份服务器150会请求通过互联网从云服务140传输5KB而不是256KB。在方框712，备份服务器150从云服务140内部的远程数据存储装置接收所请求的备份段和子段。

现在转到图8，所示通用流程图展示了方法200的一个实施方案，该方法用于对通过网络接收的还原数据进行解密。类似于方法200和500至700，网络体系结构100中呈现的组件通常可以根据方法800来运行，并且此外，顺序地描述方法800的这种实施方案中的步骤。然而，一些步骤能够以不同于所示步骤的顺序出现，一些步骤可以同时执行，一些步骤可以与其他步骤合并，并且一些步骤在另一个实施方案中可以不出现。

在方框802，备份服务器150可以对从云服务140内的远程数据存储装置接收的最后一个备份段之前的任意备份段进行解密。对于每一个备份段，解密操作可以利用加密过程中使用的相同密码算法和一个对应相同初始化矢量502。在方框804，备份服务器150可以对最后一个备份子段进行识别，该最后一个备份子段存储了所请求并接收的数据的末端。在方框806，备份服务器150可以选择该最后一个备份子段内的第一个和最后一个密码子段，该最后一个备份子段对应于请求还原的数据。

如果所选第一密码子段与最后一个备份子段的起点相对齐(条件方框808)，那么在方框810，备份服务器150可以选择相应的初始化矢量502。例如，从步骤806中选择的第一密码子段可以是如图5所示的子段302a。在方框812，备份服务器150最初可以利用所选的矢量502将所选的第一子段的每个子段解密到所选的最后一个子段。

如果所选第一密码子段与最后一个备份子段的起点不对齐(条件方框808)，那么在方框814，备份服务器可以选择最后一个备份子段内的第一个所选密码子段之前的密码子段。例如，步骤806中所选的第一密码子段可以是图5所示的子段302c。因此，备份服务器150可以选择密码子段302b用以对子段302c进行解密，并且然后舍弃子段302b内的额外字节。在方框816，备份服务器可以最先利用在前密码子段将所选第一子段的每个密码子段解密到所选最后一个子段。

应当注意，上述实施方案可以包括软件。在这样的实施方案中，代表所述系统和/或方法的程序指令和/或数据库(这两者都可以称之为“指令”)可以在计算机可读媒质上传送或者存储在其上。通常来讲，计算机可读存储媒质可以包括可由计算机在使用过程中访问的任何存储媒质以便向计算机提供指令和/或数据。例如，计算机可读存储媒质可以包括如磁或光媒质的存储媒质，例如，磁盘(固定的或可移动的)、磁带、CD-ROM、或DVD-ROM、CD-R、CD-RW、DVD-R、DVD-RW、或蓝光(Blu-Ray)。存储媒质可以进一步包括易失或非易失存储媒质，例如RAM(例如，同步动态随机存取存储器(SDRAM)、双倍数据速率(DDR、DDR2、DDR3等等)SDRAM、低功耗DDR(LPDDR2等等)SDRAM、Rambus DRAM(RDRAM)、静态RAM(SRAM)等等)、ROM、闪存、非易失存储器(例如闪存)，这些存储媒质可通过例如通用串行总线(USB)接口等外围接口进行访问。存储媒质可以包括微电子机械系统(MEMS)以及可通过如网络和/或无线链接通信媒质进行访问的存储媒质。

在不同的实施方案中，本文所述方法和机制的一个或多个部件可以构成云计算环境的一部分。在这样的实施方案中，根据一个或多个不同模型，可以通过互联网将资源作为服务来提供。这类模型可以包括基础设施即服务(IaaS)、平台即服务(PaaS)、软件即服务(SaaS)。在IaaS中，计算机基础设施作为服务进行传送。在这种情况中，服务提供者通常拥有和操作计算设备。在PaaS模式中，开发软件解决方案的开发者所用软件工具和底层设备可以由服务提供者作为服务来提供并掌控。SaaS典型地包括按需作为服务的服务提供商许可软件。服务提供商可以掌控软件，或者可以将软件调配给客户一段给定的时间。以上模式的很多组合形式是可能的并且是可以设想的。

尽管已经相当详细地描述了以上这些实施方案，一旦以上披露得到充分理解，对于本领域普通技术人员而言众多的变化和修改将变得很清楚。在此的意图是将以下权利要求解释为涵盖所有此类变化和修改。

Claims (20)

1.一种计算机实施的方法，包括：

将数据加密为一个备份服务器上的具有一个加密段大小的多个单元；

其中响应于来自一个客户端计算机对第一数据的一个备份请求：

将该第一数据加密为一个或多个加密段，而每个段具有所述的加密段大小；并且

传送该一个或多个加密段用于存储在一种存储媒质上；并且

其中响应于来自该客户端计算机对第二数据的一个还原请求，该第二数据对应于一个给定的加密段，该第二数据具有的大小小于该加密的大小：

从该存储媒质接收包括该第二数据的特定数据，该特定数据包括的数据少于一个加密段中包括的数据；并且

利用该特定数据的至少一部分来对所接收的第二数据进行解密。

2.如权利要求1所述的方法，其中这些加密段各自包括多个加密的子段，其中响应于检测到在所接收的第二数据内的一个起始加密的子段不是位于该给定的加密段的起点处，进一步包括利用一个直接在前的加密的子段来对该起始加密的子段进行解密。

3.如权利要求2所述的方法，其中响应于检测到在所接收的第二数据内的起始加密的子段是是位于该给定的加密段的起点处，进一步包括利用一个初始化矢量来对该起始加密的子段进行解密，其中该初始化矢量曾用于对该起始加密的子段进行加密。

4.如权利要求2所述的方法，其中用于加密的一种算法具有一种特性，该特性通过利用一个直接在前的加密的子段作为一个密钥而允许一个给定的加密的子段被解密。

5.如权利要求4所述的方法，其中该特定数据的起点与该给定的加密段的起点是对齐的。

6.如权利要求5所述的方法，其中该算法具有的特性是在加密过程中不填补数据。

7.如权利要求4所述的方法，其中该备份服务器以及该存储媒质是通过互联网相连接的。

8.如权利要求7所述的方法，其中相对于该客户端计算机以及该备份服务器，该存储媒质是离站的。

9.一种计算系统，包括：

一个备份服务器，该备份服务器被配置为用于将数据加密为具有一个加密段大小的多个单元；

一个客户端计算机，该客户端计算机通过一个网络连接至该备份服务器上；以及

一种存储媒质，该存储媒质连接至该备份服务器上；

其中响应于来自该客户端计算机的对第一数据的一个备份请求，该备份服务器被配置为用于：

将该第一数据加密为一个或多个加密段，每个加密段具有所述的加密段大小；并且

传送该一个或多个加密段用于存储在该存储媒质上；

其中响应于来自该客户端计算机的对第二数据的一个还原请求，该第二数据对应于一个给定的加密段，该第二数据具有小于该加密大小的大小，该备份服务器被配置为用于：

从该存储媒质接收包括该第二数据的特定数据，该特定数据包括的数据少于一个加密段中包含的数据；并且

利用该特定数据的至少一部分对所接收的第二数据进行解密。

10.如权利要求9所述的计算系统，其中这些加密段各自包括多个加密的子段，其中响应于检测到在所接收的第二数据内的一个起始加密的子段不是位于该给定的加密段的起点处，该备份服务器被进一步配置为利用一个直接在前的加密的子段来对该起始加密的子段进行解密。

11.如权利要求10所述的计算系统，其中响应于检测到在所接收的第二数据内的起始加密的子段是位于该给定的加密段的起点处，该备份服务器被进一步配置为利用一个初始化矢量来对该起始加密的子段进行解密，其中该初始化矢量曾用于对该起始加密的子段进行加密。

12.如权利要求10所述的计算系统，其中用于加密的一种算法具有一种特性，该特性通过利用一个直接在前的加密的子段作为密钥而允许一个给定的加密子段被解密。

13.如权利要求12所述的计算系统，其中该特定数据的起点与该给定的加密段的起点是对齐的。

14.如权利要求13所述的计算系统，其中该算法具有的特性是在加密过程中不填补数据。

15.如权利要求12所述的计算系统，其中该备份服务器以及该存储媒质是通过互联网相连接的。

16.如权利要求15所述的计算系统，其中相对于该客户端计算机以及该备份服务器，该存储媒质是离站的。

17.一种存储程序指令的计算机可读存储媒质，其中这些程序指令是可执行的以便：

将数据加密为一个备份服务器上的具有一个加密段大小的多个单元；

其中响应于来自一个客户端计算机的对第一数据的一个备份请求：

将该第一数据加密为一个或多个加密段，每个段具有所述的加密段大小；并且

传送该一个或多个加密段以存储在一种存储媒质上；并且

其中响应于来自该客户端计算机的对第二数据的一个还原请求，该第二数据对应于一个给定的加密段，该第二数据具有小于该加密大小的大小：

从该存储媒质接收包括该第二数据的特定数据，该特定数据包括的数据少于一个加密段中包含的数据；并且

利用该特定数据的至少一部分对所接收的第二数据进行解密。

18.如权利要求17所述的计算机可读存储媒质，其中这些加密段各自包括多个加密的子段，其中响应于检测到在所接收的第二数据内的一个起始加密的子段不是位于该给定的加密段的起点处，该程序指令是进一步可执行的以便利用一个直接在前的加密的子段来对该起始加密的子段进行解密。

19.如权利要求17所述的计算机可读存储媒质，其中用于加密的一种算法具有一种特性，该特性通过利用一个直接在前的加密的子段作为密钥而允许一个给定的加密的子段被解密。

20.如权利要求19所述的计算机可读存储媒质，其中该特定数据的起点与该给定的加密段的起点是对齐的。

Images