JP2012155323A - 高遅延、低帯域幅環境におけるｎｅｔｂａｃｋｕｐデータ復号のためのシステムおよび方法 - Google Patents

Abstract

【課題】高遅延、低帯域幅環境におけるＮＥＴＢＡＣＫＵＰデータ復号のためのシステムおよび方法を提供する。
【解決手段】バックアップサーバ１５０とクライアントコンピュータ１１０a-cとが、第１のネットワーク１８０を介して互いに結合され、バックアップサーバ１５０は、インターネット１９０などの別のネットワークを介して遠隔データ記憶域に結合される。バックアップサーバ１５０は、クライアントコンピュータ１１０a-cからのバックアップ用受信データを暗号化する。暗号セグメントおよび暗号部分セグメントのサイズを選ぶことができ、選択された暗号アルゴリズムで、同じ暗号部分セグメントのサイズを有する直前の保護された部分セグメントをまず復号する、そして暗号部分セグメントのサイズを有する所与の保護された部分セグメントを復号する。
【選択図】図１

Description

本発明は、コンピュータネットワーク分野に関し、より詳細には、低帯域幅ネットワークを介して暗号化データを効率的に転送することに関する。

コンピュータのメモリストレージおよびデータ帯域幅が増加するにつれ、企業が日々管理するデータの量および複雑さも増す。そうしたデータの大部分は、電子的な文書、発表、タスク、ディスカッショントピック等を含み得る。この情報の業務上の価値にもよるが、特定の情報へのアクセスは安全かつ非公開であり得る。データの喪失、とりわけ極めて重要なデータであると特定されるデータの喪失を防ぐために、情報サーバおよびエンドユーザシステムのコンテンツをバックアップ記憶域にバックアップすることができる。そのような場合、専用サーバおよび記憶サブシステムは、バックアップシステムを含むことができる。バックアップシステムは、データをバックアップするためのデータの量および時間を減らしてマシンを保護しようとする。

情報技術（ＩＴ）管理者に関し、企業情報ならびに従業員および顧客へのコンピューティングサポートの管理を集中化するために、ＩＴ管理者はデータセンタを利用することができる。データセンタは、この企業情報を記憶し、管理し、保護し、広めるための物理的または仮想的な集中リポジトリである。データセンタは、サーバルームまたはサーバファームと呼ばれることもある。しかし、ＩＴ管理者が設備投資を避けることを選び、短期的にまたは長期的に１つまたは複数のサーバコンピュータシステムをリースする場合があり得る。その企業は、サードパーティーの遠隔地にあるリソースをサービスとして消費し、実際に消費したリソースの代金だけを支払うことができる。例には、教育的なクラスルームサービス、潜在的なユーザまたは購入者へのソフトウェアのデモ、ウェブサイトサーバアプリケーション、データ保護等が含まれる。

上記に記載したコンピューティングの種類はクラウドコンピューティングと呼ぶことができ、クラウドコンピューティングでは、動的に拡張可能でありかつ多くの場合仮想化されたサードパーティーの遠隔地にあるリソースが、インターネットなどのネットワークを介して使用されるために供給される。クラウドコンピューティングは、オンデマンドの入手、金銭的コストの低下、およびアプリケーションのモビリティをもたらす。例えば、アプリケーションソフトウェアおよび対応するデータを遠隔地に記憶することができ、しかしながら、そのアプリケーションはウェブブラウザからアクセス可能とすることができる。ソフトウェアアプリケーションのクラウドコンピューティングによる実装は、そのアプリケーションをサポートするインフラについての知識またはそうしたインフラに対する制御なしに、企業がインターネットを介してそのアプリケーションにアクセスすることを可能にする。遠隔アクセスに関する主な考慮事項には、遠隔アクセスソフトウェアおよびネットワークインターフェイスが含まれる。

ＩＴ管理者は、データバックアップおよびデータ保護、データ復旧、復元および再始動、アーカイビングおよび長期保持、ならびに記憶アーキテクチャを管理するために必要な日々の処理および手続きのための管理システムを開発することができる。この管理システムは、情報を効果的に管理するために特定のポリシを適用することができる。この管理システムは、クラウドコンピューティングシステム内の遠隔データ記憶位置にバックアップデータストリームを書き込むことを可能にする、クラウドプラグインをサポートすることができる。カタログおよびトラッキングの負担を最小限にするために、これらのデータストリームは概して非常に大きい。さらに、これらのデータストリームは、保護するために一般に暗号化される。高遅延および低帯域幅特性が、広域ネットワーク（ＷＡＮ）を含むクラウドコンピューティングシステムの典型的な特徴である。そのような環境ではバックアップ操作および復旧操作のどちらのデータ転送も遅く、クラウドコンピューティングソリューションを利用する利益を減らす可能性がある。

上記の内容に鑑みて、低帯域幅ネットワークを介して暗号化データを効率的に転送するための改善されたシステムおよび方法が求められる。

低帯域幅ネットワークを介して暗号化データを効率的に転送するためのシステムおよび方法。

一実施形態では、コンピューティングシステムが、ローカルエリアネットワーク（ＬＡＮ）などのネットワークを介して互いに結合される、バックアップサーバおよびクライアントコンピュータを含む。バックアップサーバは、インターネットなどの別のネットワークを介して遠隔データ記憶域に結合される。この他のネットワークをクラウドと呼ぶことができる。遠隔データ記憶域は、アーカイブ記憶域を含むことができる。クライアントコンピュータが、被選択データに関するバックアップ要求をバックアップサーバに送信すると、バックアップサーバは、クライアントコンピュータからの受信データを暗号化する。互いにバイト境界上で整列（ａｌｉｇｎ）し、かつ選択されたバックアップセグメントおよびバックアップ部分セグメントのサイズにバイト境界上で整列する、暗号セグメントおよび暗号部分セグメントのサイズを選ぶことができる。したがって、セグメントのそれぞれの始まりは、他のセグメントに整列する。バックアップセグメントおよびバックアップ部分セグメントのサイズは、遠隔バックアップ記憶域上のソフトウェアによって使用されることに加え、バックアップサーバと遠隔データ記憶域との間のクラウドを介したデータ伝送のために使用することができる。選択される暗号アルゴリズムは、暗号部分セグメントのサイズを有する所与の暗号化部分セグメントを、同じ暗号部分セグメントのサイズを有する直前の暗号化部分セグメントを利用することによって復号することを可能にする特性を有することができる。例えば、所与の１２８キロバイト（ＫＢ）の暗号セグメントは、３２バイトの暗号部分セグメントを４，０９６個含むことができる。７のオフセットインデックスを有する所与の３２バイトの暗号部分セグメントは、先行する６のオフセットインデックスを有する第２の３２バイトの暗号部分セグメント、またはその所与の３２バイトの暗号部分セグメントの直前の３２バイトの暗号部分セグメントを利用することにより復号することができる。それ自体が暗号化されているこの先行する３２バイトの暗号部分セグメントは、所与の３２バイトの暗号部分セグメントを復号するための鍵として使用することができる。したがって、所与の３２バイトの暗号部分セグメントを復号するために、全１２８ＫＢの暗号セグメントを使用することはない。

暗号化データがクラウドを介して遠隔データ記憶域に送信された後、クライアントコンピュータは、バックアップされたデータの復元を後の時点において要求することができる。要求されたデータの一部が、１２８ＫＢの暗号セグメントなど、ある暗号セグメントのサイズよりも小さい場合、遠隔データ記憶域はクラウドを介してより小さなサイズのブロックを送ることができる。例えば、１ＫＢのサイズなど、バックアップ部分セグメントのサイズを有する１つまたは複数のブロックを送ることができる。バックアップサーバは、１ＫＢの部分セグメントなどのバックアップ部分セグメントのそれぞれの中の、３２バイトの部分セグメントなど、１つまたは複数の暗号化部分セグメントを復号することができる。次いで、その復号データをクライアントコンピュータに伝えることができる。

以下の説明および添付図面を参照することにより、これらのおよび他の実施形態が理解される。

ネットワークアーキテクチャの一実施形態を示す一般化したブロック図である。 効率的なバックアップ操作のための方法の一実施形態を示す一般化した流れ図である。 暗号部分セグメントおよびバックアップ部分セグメントを含む、部分セグメントユニットの一実施形態を示す一般化したブロック図である。 暗号セグメントおよびバックアップセグメントを含む、セグメントユニットの一実施形態を示す一般化したブロック図である。 暗号セグメントの一実施形態を示す一般化したブロック図である。 データをバックアップする方法の一実施形態を示す一般化した流れ図である。 復元データを特定して受信する方法の一実施形態を示す一般化した流れ図である。 ネットワークを介して受信した復元済みデータを復号する方法の一実施形態を示す一般化した流れ図である。

本発明は様々な修正および代替形態を許すが、例として特定の実施形態を図示し、本明細書で詳細に説明する。ただし、図面および図面に対する詳細な説明は、本発明を開示する特定の形態に限定することは意図せず、逆に本発明は、特許請求の範囲によって定められる本発明の趣旨および範囲に含まれるあらゆる修正形態、等価物、および代替形態を範囲に含むことを理解すべきである。

本発明を完全に理解できるようにするために、以下の説明では多数の具体的な詳細を記載する。ただし、これらの具体的な詳細なしに本発明を実施できることを当業者なら理解すべきである。場合によっては、本発明を不明瞭にすることを回避するために、よく知られている回路、構造、信号、コンピュータプログラム命令、および技法は詳しく示していない。

低帯域幅ネットワークを介して暗号化データを効率的に転送するためのシステムおよび方法の様々な実施形態を本明細書に記載する。図１を参照して、低帯域幅ネットワークを介して暗号化データを効率的に転送する能力を含む、ネットワークアーキテクチャ１００の一実施形態を示す一般化したブロック図を示す。図示のように、ネットワークアーキテクチャ１００は、ローカルエリアネットワーク１８０を介して互いにおよびバックアップサーバ１５０に相互接続される、クライアントコンピューティングシステム１１０ａ〜１１０ｃを含む。ネットワーク１８０は、無線接続、ダイレクトローカルエリアネットワーク（ＬＡＮ）接続、インターネットなどの広域ネットワーク（ＷＡＮ）接続、ルータ等を含む様々な技法を含むことができる。ネットワーク１８０は、同じく無線とすることができる１つまたは複数のＬＡＮを含んでもよい。ネットワーク１８０は、リモートダイレクトメモリアクセス（ＲＤＭＡ）ハードウェアおよび／またはソフトウェア、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）ハードウェアおよび／またはソフトウェア、ルータ、中継器、スイッチ、グリッド、ならびに／または他のものをさらに含むことができる。ネットワーク１８０の中では、ファイバチャネル、ファイバチャネルオーバーイーサネット（ＦＣｏＥ）、ｉＳＣＳＩなどのプロトコルを使用することができる。

クライアントコンピュータシステム１１０ａ〜１１０ｃは、デスクトップパーソナルコンピュータ（ＰＣ）、サーバ、サーバファーム、ワークステーション、ラップトップ、ハンドヘルドコンピュータ、サーバ、携帯情報端末（ＰＤＡ）、スマートフォンなど、任意の数の据置き型コンピュータまたはモバイルコンピュータを表す。一般的に言えば、クライアントコンピュータシステム１１０ａ〜１１０ｃは、１個または複数個のプロセッサコアを含む１個または複数個のプロセッサを含む。各プロセッサコアは、あらかじめ定義された汎用命令セットに従って命令を実行するための回路を含む。例えば、ｘ８６命令セットアーキテクチャを選択することができる。あるいは、Ａｌｐｈａ（登録商標）、ＰｏｗｅｒＰＣ（登録商標）、ＳＰＡＲＣ（登録商標）、または他の任意の汎用命令セットアーキテクチャを選択することができる。プロセッサコアは、データおよびコンピュータプログラム命令を得るために、キャッシュメモリサブシステムにアクセスすることができる。そのキャッシュサブシステムは、ランダムアクセスメモリ（ＲＡＭ）および記憶装置を含む記憶階層に結合することができる。

クライアントコンピュータシステム内の各プロセッサコアおよび記憶階層は、ネットワークインターフェイスに接続することができる。ハードウェアコンポーネントに加え、クライアントコンピュータシステム１１０ａ〜１１０ｃのそれぞれは、記憶階層の中に記憶されるベースオペレーティングシステム（ＯＳ）を含むことができる。このベースＯＳは、例えばＭＳ−ＤＯＳ（登録商標）、ＭＳ−ＷＩＮＤＯＷＳ（登録商標）、ＯＳ／２（登録商標）、ＵＮＩＸ（登録商標）、Ｌｉｎｕｘ（登録商標）、Ｓｏｌａｒｉｓ（登録商標）、ＡＩＸ（登録商標）、ＤＡＲＴ、それ以外のものなど、様々なオペレーティングシステムのいずれかを表すことができる。そのためベースＯＳは、様々なサービスをエンドユーザに提供するように、および様々なプログラムの実行をサポートするように機能するソフトウェアフレームワークを提供するように動作することができる。さらに、クライアントコンピュータシステム１１０ａ〜１１０ｃのそれぞれは、仮想マシン（ＶＭ）をサポートするために使用されるハイパーバイザを含むことができる。当業者によく知られているように、仮想化は、システムのハードウェアからＯＳなどのソフトウェアを完全にまたは部分的に切り離すために、デスクトップおよびサーバにおいて使用することができる。

バックアップサーバ１５０は、スイッチ１３０を介して第２のネットワーク１９０に結合することができる。ネットワーク１９０は、インターネットや他の外部ネットワークとすることができる。あるいはネットワーク１８０は、１つまたは複数のスイッチを介してネットワーク１９０に結合することができる。スイッチ１３０は、ネットワーク１８０およびネットワーク１９０の両方に関連するプロトコルを利用することができる。ネットワーク１８０とバックアップサーバ１５０とは、伝送制御プロトコル（ＴＣＰ）およびインターネットプロトコル（ＩＰ）、すなわちＴＣＰ／ＩＰなど、インターネットに使用される１組の通信プロトコルを使ってインターフェイスすることができる。スイッチ１３０は、ＴＣＰ／ＩＰスイッチとすることができる。

記憶装置１６０ａ〜１６０ｂは、ネットワークアーキテクチャ１００内のデータのコピーを記憶するために使用することができる。記憶装置１６０ａ〜１６０ｂは、１つまたは複数のハードディスク、テープドライブ、サーバブレード、固体ディスク（ＳＳＤ）、または専用装置からなる数種類の記憶域を含み、またはそれらの記憶域にさらに結合することができ、ＲＡＭ、Ｆｌａｓｈ ＲＡＭ、ＭＥＭＳ（微小電子機械システム）記憶域、バッテリバックアップ付きＲＡＭ、および／または不揮発性ＲＡＭ（ＮＶＲＡＭ）など、様々なメモリ素子を含むことができる。記憶装置１６２ａ〜１６２ｂは、装置１６０ａ〜１６０ｂ上に記憶されるデータのコピーを記憶するために使用することができる。記憶装置１６２ａ〜１６２ｂは、記憶装置１６０ａ〜１６０ｂに関して列挙したメモリ素子のうちの１つまたは複数を含むことができる。

一実施形態では、ネットワークアーキテクチャ１００内の遠隔共用記憶サーバ１２０ａ〜１２０ｂが、データを保護するためにクライアントコンピューティングシステム１１０ａ〜１１０ｃ上のファイルのコピーを作成することができる。さらに、クライアントコンピューティングシステム１１０ａ〜１１０ｃおよび／またはバックアップサーバ１５０上のバックアップエージェントは、データオブジェクトがアーカイブされる要件を満たすときを判定することができる。クラウドサービス１４０内のサーバ１２０ａ〜１２０ｂは、インターネット網１９０を介してアクセスされるオフサイトサーバとすることができる。遠隔共用記憶サーバ１２０ａ〜１２０ｂは、クライアントコンピューティングシステム１１０ａ〜１１０ｃにソフトウェアおよびデータをオンデマンドで提供することができる。クライアントコンピューティングシステム１１０ａ〜１１０ｃのユーザは、クラウドサービス１４０内の技術インフラについての知識、またはそうした技術インフラに対する制御を有さなくてもよい。これをクラウドコンピューティングと呼ぶことができる。一実施形態では、クラウドコンピューティングは、インターネットベースのコンピューティングである。単純な例には、Ｈｏｔｍａｉｌ、Ｙａｈｏｏ！メール、またはＧｍａｉｌのようなウェブベースの電子メールサービスを伴う電子メールアカウントが含まれる。それらの電子メールアカウント用のソフトウェアおよび記憶域は、クライアントコンピューティングシステム１１０ａ〜１１０ｃ上に存在するのではなく、クライアントサービス１４０内に存在する。オンサイトデータセンタなどの物理的インフラを所有しないことにより、クラウドコンピューティングの顧客は、サードパーティープロバイダから使用権（ｕｓａｇｅ）を賃借することにより設備投資を避ける。

ウェブサービスとは、典型的にはハイパテキスト転送プロトコル（ＨＴＴＰ）によってアクセスされ、要求されたサービスをホストするサーバ１２０ａ〜１２０ｂおよびバックアップサーバ１５０などの遠隔システム上で実行される、アプリケーションプログラミングインターフェイス（ＡＰＩ）またはウェブＡＰＩである。ウェブサービスは、ネットワークを介した、相互に情報交換可能なマシン間の対話をサポートする。ウェブサービスは、ウェブサービス記述言語（ＷＳＤＬ）などのマシン処理形式で記述されたインターフェイスを有する。クラウドアーキテクチャは、典型的にはウェブサービスなどのアプリケーションプログラミングインターフェイスを介して互いに通信する複数のクラウドコンポーネントを含む。

次にバックアップサーバ１５０に戻り、バックアップサーバ１５０は、バックアップアプリケーション１５８を含むことができる。このバックアップアプリケーション１５８、すなわち「バックアップマネージャ」は、メモリ１７０上に記憶され、１つまたは複数のバックアップ操作を実行するためにプロセッサ１７４によって実行可能なプログラム命令を含むことができる。バックアップ操作には、例えばコンピュータシステム上に、またはあるコンピュータシステムから別のコンピュータシステムに部分バックアップもしくは完全バックアップを作成すること、コンピュータシステム上で、またはあるコンピュータシステムから別のコンピュータシステムに対して復元機能（例えば部分復元もしくは個別復元機能または完全復元機能）を実行することが含まれてもよく、バックアップ操作には他の操作も含まれ得る。データイメージに関し、ライフサイクル内のバックアップ操作および複製操作のためのポリシを決定することができる。例えばポリシは、階層化記憶域の中の層の数、記憶媒体の種類および数、所与の記憶媒体上にイメージを記憶する持続時間、特定の操作をブロックする１日の時間帯等を決定することを含むことができる。

バックアップシステムエージェントは、バックアップサーバ１５０上のバックアップマネージャ１５８を援助することができる。バックアップマネージャ１５８は、ボリュームイメージバックアップを作成するように構成することができる。一部の実施形態では、バックアップマネージャ１５８は、特定のシステムのボリュームイメージバックアップを作成するようにバックアップマネージャ１５８に指図するユーザ入力を受け取ることができる。一部の実施形態では、バックアップマネージャ１５８は、特定のシステムのボリュームイメージバックアップを自動で作成することができ、例えばバックアップマネージャを、特定のシステムの定期バックアップを実行するようにスケジュールすることができる。バックアップを作成する一環として、バックアップマネージャ１５８は、バックアップデータに関連するカタログメタデータ１５６も作成することができる。

バックアップ操作中にバックアップマネージャ１５８が作成するカタログメタデータ１５６は、データ名、データサイズ、データのフィンガープリント、バッチ番号、ならびにデータの種類、バージョン番号、所有権、許可、最終更新日時、バックアップセグメント識別子およびバックアップ部分セグメント識別子、暗号セグメント識別子および暗号部分セグメント識別子、誤りコード等のうちの少なくとも１つまたは複数を含むことができる。バッチ番号は、関連するバックアップエントリが作成された特定のバックアップ操作を明らかにするために使用することができる。他の形式のメタデータおよび／または識別子が当業者には明らかになるであろう。カタログメタデータ１５６は、例えば後の時点でブラウジングを復元するために使用可能であり得る。例えば、バックアップ記憶装置１６０ａ〜１６０ｂおよびアーカイブ記憶域１６２ａ〜１６２ｂ内に記憶された情報のデータ形式をカタログ１５６内に記憶することができる。

一実施形態では、バックアップサーバ１５０は、データの記憶、編成、操作、および取得のための専用データベースとして動作するファイルシステム１５４を含む。ファイルシステム１５４は、ネットワークプロトコルに関するクライアントとして動作することにより、データへのアクセスを提供することができる。あるいは、ファイルシステム１５４は仮想であり、仮想データに対する単なるアクセス方法として存在することができる。

代替的実施形態では、クライアントコンピュータおよびサーバ、スイッチ、ネットワーク、ならびに共用記憶域の数および種類は、図１に示す数および種類に限定されないことを指摘しておく。様々な時点において、１台または複数台のクライアントがオフラインで動作することができる。さらに、ユーザがネットワークアーキテクチャ１００に接続し、ネットワークアーキテクチャ１００への接続を断ち、ネットワークアーキテクチャ１００に再接続するとき、動作中に個々のクライアントコンピュータの接続タイプが変わり得る。

次に図２に移ると、効率的なバックアップ操作のための方法２００の一実施形態を示す一般化した流れ図が示されている。ネットワークアーキテクチャ１００内に具体化したコンポーネントは、方法２００に従って概して動作することができる。解説の目的上、方法２００のこの実施形態内の各ステップを順番に記載することを指摘しておく。ただし、一部のステップは図示の順序とは異なる順序で行ってもよく、一部のステップは同時に実行してもよく、一部のステップは他のステップと組み合わせてもよく、一部のステップは別の実施形態ではなくてもよい。

ブロック２０２で、クライアントコンピューティングシステム１１０ａ〜１１０ｃ上のデータに関し、バックアップ操作および複製操作のためのポリシを決定する。先に述べたように、ポリシは、階層化記憶域の中の層の数、記憶媒体の種類および数、所与の記憶媒体上にイメージを記憶する持続時間、特定の操作をブロックする１日の時間帯、スケジュールに従ってバックアップ操作および複製操作を実行する１日の時間帯等を決定することを含むことができる。

ブロック２０４で、バックアップセグメントおよびバックアップ部分セグメントのサイズを選択する。これらのサイズは、バックアップサーバ１５０とクラウドサービス１４０との間で転送されるデータの量を決定することができる。クラウドサービス１４０に非常に大きいバックアップセグメントを書き込めることは、メタデータのオーバーヘッドサポートを減らすことができる。一実施形態では、バックアップセグメントのサイズは、１ＫＢから２５６ＫＢに及ぶことができる。バックアップ部分セグメントのサイズは、復元要求に対応する、予期されるデータサイズに基づいて選択することができる。クライアントコンピューティングシステム１１０ａ〜１１０ｃのうちの１つが、バックアップサーバ１５０に復元要求を送信することができる。バックアップサーバ１５０は、要求されたデータに関し、対応する要求をクラウドサービス１４０に送信する。要求されたデータが、クラウドサービス１４０からバックアップサーバに伝えられる。一実施形態では、バックアップ部分セグメントのサイズが、バックアップセグメントのサイズと同じサイズであり得る。ただし、復元要求に対応するデータサイズは、バックアップされまたはアーカイブされたデータの量よりも典型的には小さいものであり得る。別の実施形態では、バックアップセグメントのサイズが２５６ＫＢのとき、バックアップ部分セグメントのサイズは１ＫＢから１２８ＫＢに及ぶことができる。

バックアップサーバ１５０とクラウドサービス１４０との間で転送されるデータを保護するために、暗号を使用することができる。暗号は、データが見られまたは修正されるのを防ぎ、さもなければ安全でないチャネル上で安全な通信を行うために使用することができる。例えば暗号は、ユーザの身元を保護し、データが変更されるのを防ぎ、特定の当事者からのデータが本物であることを保証することができる。データは、選択された暗号アルゴリズムを使用して暗号化することができる。データは、暗号化された状態で伝送し、目的とする受信機が後で復号することができる。暗号化データを第三者が傍受する場合、解読するのは困難であり得る。

暗号は、対称暗号化または非対称暗号化を使用することができる。対称暗号化では、特定の方法でコンテンツを変えるために、数、語、または一連の無作為文字とすることができる秘密鍵をメッセージの本文に適用する。非対称暗号化では、データを保護するために鍵の対を使用する。データを送信するために、公開鍵を自由に利用できるようにすることができる。公開鍵を使って暗号化されたテキスト、バイナリファイル、文書などのメッセージは、対をなす秘密鍵を使うことを除き、選択された同じ暗号アルゴリズムを適用することによって復号することができる。同様に、秘密鍵を使って暗号化されるメッセージは、同じアルゴリズムおよび公開鍵を使用することで復号することができる。

保持する暗号メタデータの量を最小限にするために、暗号化する間、データをパディングしなくてもよい。データのサイズおよび結果として生じる暗号セグメントのサイズは、パディングによって増えることはない。さらに、暗号アルゴリズムを選択するとき、選択基準には、暗号部分セグメントのサイズを有する保護された所与の部分セグメントを、同じ暗号部分セグメントのサイズを有する直前の暗号化部分セグメントを利用することによって復号することを可能にする特性が含まれ得る。例えば、所与の１２８ＫＢの暗号セグメントは、３２バイトの暗号部分セグメントを４，０９６個含むことができる。７のオフセットインデックスを有する所与の３２バイトの暗号部分セグメントは、６の先行するオフセットインデックスを有する、前の第２の３２バイトの暗号部分セグメントを利用することにより復号することができる。それ自体が暗号化されているこの先行する３２バイトの暗号部分セグメントは、所与の３２バイトの暗号部分セグメントを復号するための鍵として使用することができる。したがって、７のインデックスを有する所与の３２バイトの暗号部分セグメントを復号するために、全１２８ＫＢの暗号セグメントを使用することはない。一実施形態では、ＡＥＳ−２５６−ＣＦＢという名前の暗号アルゴリズムを選択することができる。このアルゴリズムは、高度暗号化標準（ＡＥＳ）の対称鍵暗号化標準、２５６ＫＢの暗号セグメントサイズ、および暗号化フィードバックモード機能を使用する。

方法２００に戻り、ブロック２０６で、暗号セグメントおよび暗号部分セグメントのサイズを、それらのサイズの値がバックアップセグメントおよびバックアップ部分セグメントのサイズと合致するように決定する。例えば、３２バイトの暗号部分セグメントのサイズを選択することができる。さらに、２５６ＫＢの暗号セグメントのサイズを選択することができる。これらのサイズは、バイト境界上で互いに整列する。さらに、２５６ＫＢと１ＫＢのバックアップセグメントおよびバックアップ部分セグメントのサイズに関し、暗号のサイズはやはり合致する。加えて、セグメントのそれぞれの始まりが、他のセグメントに整列する。暗号セグメントの始まりは、バックアップセグメントの始まりと整列する。別の実施形態では、暗号のサイズとバックアップのサイズとが合致しないことがある。そのような場合、対応するデータにアクセスするために、データを暗号化し、復号し、クラウドサービス１４０との間で転送するときにさらなる計算を行うことができる。このさらなる計算は、それぞれの操作中に各種のセグメントおよび部分セグメントをいくつ使用するのかを求めることができる。ブロック２０８で、暗号部分セグメントのレベルで復号する特性を有する暗号アルゴリズムを選択することができる。そのような暗号アルゴリズムの一例は、上述したＡＥＳ−２５６−ＣＦＢである。

次に図３を参照すると、暗号部分セグメント３０２およびバックアップ部分セグメント３０６を含む、部分セグメントユニット３００の一実施形態を示す一般化したブロック図が示されている。図示のように、暗号部分セグメント３０２はあるサイズ３０４を有する。一実施形態では、部分セグメントのサイズ３０４は３２バイトである。一実施形態では、バックアップ部分セグメント３０６は、暗号部分セグメント３０２ａ〜３０２ｄの整数倍からなる。したがって、バックアップ部分セグメントのサイズ３０８は、サイズ３０４の整数倍である。一実施形態では、バックアップ部分セグメントのサイズ３０８は１ＫＢである。図示の例では、暗号部分セグメント３０２とバックアップ部分セグメント３０６とが、バイト境界合わせ（ｂｙｔｅ ａｌｉｇｎｅｄ）されている。この場合もやはり、別の実施形態ではバックアップ部分セグメントのサイズ３０８が、サイズ３０４の整数倍にならないことがある。そのような場合、それぞれの操作中に使用するバックアップ部分セグメント３０６の数および暗号部分セグメント３０２の数を求めるために、データを暗号化し、復号し、クラウドサービス１４０との間で転送するときにさらなる計算を行うことができる。

次に図４を参照すると、暗号セグメント４０２およびバックアップセグメント４０６を含む、セグメントユニット４００の一実施形態を示す一般化したブロック図が示されている。図示のように、暗号セグメント４０２はあるサイズ４０４を有する。一実施形態では、暗号セグメントのサイズ４０４は１２８ＫＢである。一実施形態では、暗号セグメント４０６が、１つまたは複数のバックアップ部分セグメント３０６ａ〜３０６ｄを含む。先に示したように、各バックアップ部分セグメントは、１つまたは複数の暗号部分セグメント３０２ａ〜３０２ｄを含むことができる。したがって、各暗号セグメント４０６は、１つまたは複数の暗号部分セグメント３０２を含む。したがって、暗号セグメント４０６と、バックアップ部分セグメント３０６と、暗号部分セグメントとがバイト境界合わせされ得る。暗号セグメントのサイズは、暗号化に使用される最小単位のサイズとすることができる。暗号部分セグメントのサイズは、復号に使用される最小単位のサイズとすることができる。

一実施形態では、バックアップセグメント４０６が、１つまたは複数の暗号セグメント４０２ａ〜４０２ｄを含む。したがって、バックアップセグメントのサイズは、サイズ４０４の整数倍である。一実施形態では、バックアップセグメントのサイズは２５６ＫＢである。そのような場合、バックアップセグメントのサイズは、１２８ＫＢの暗号セグメントのサイズ４０４の量の２倍である。一部の実施形態では、バックアップセグメントのサイズと暗号セグメントのサイズとが等しい。例えば、これらのセグメントサイズのそれぞれは２５６ＫＢであり得る。図示の例では、バックアップセグメント４０６と暗号セグメント４０２とが、バイト境界合わせされている。さらに、バックアップ部分セグメント３０６と暗号部分セグメント３０２とが、互いに、ならびにセグメント４０２および４０６のそれぞれとバイト境界合わせされている。この場合もやはり、別の実施形態ではバックアップセグメントのサイズが、暗号セグメントのサイズ４０４の整数倍にならないことがある。さらに、部分セグメントのサイズは、互いにまたはセグメントのサイズとバイト境界合わせされないことがある。そのような場合、それぞれの操作中に使用するセグメントおよび部分セグメントの数を求めるために、データを暗号化し、復号し、クラウドサービス１４０との間で転送するときにさらなる計算を行うことができる。

次に図５を参照すると、暗号セグメント４０２の一実施形態を示す一般化したブロック図が示されている。暗号セグメント４０２は、バックアップ部分セグメント３０６および暗号部分セグメント３０２とバイト境界合わせされ得る。暗号セグメント４０２内に保持されるデータを暗号化するために、初期設定ベクトル５０２を使用することができる。各暗号セグメント４０２は、独自のベクトル５０２を有することができる。初期設定ベクトル５０２は、選択される暗号アルゴリズムにもよるが、公開鍵または秘密鍵であり得る。このベクトル５０２は、暗号部分セグメント３０２ａを暗号化するために使用することができる。その後、暗号化したその部分セグメント３０２ａを使用して、部分セグメント３０２ｂを暗号化することができる。次いで、暗号化したその部分セグメント３０２ｂを使用して、部分セグメント３０２ｃを暗号化することができ、その後も同様である。そのような場合、暗号化された部分セグメント３０２ｃは、同じアルゴリズムを使い暗号化された部分セグメント３０２ｂを使用して復号することができる。同様に、暗号化された部分セグメント３０２ｂは、暗号化された部分セグメント３０２ａを使用することで復号することができる。暗号化された部分セグメント３０２ａは、初期設定ベクトル５０２を使用することで復号される。

次に図６に移ると、データをバックアップする方法６００の一実施形態を示す一般化した流れ図が示されている。ネットワークアーキテクチャ１００内に具体化したコンポーネントは、方法６００に従って概して動作することができる。解説の目的上、方法６００のこの実施形態内の各ステップを順番に記載することを指摘しておく。ただし、一部のステップは図示の順序とは異なる順序で行ってもよく、一部のステップは同時に実行してもよく、一部のステップは他のステップと組み合わせてもよく、一部のステップは別の実施形態ではなくてもよい。

ブロック６０２で、クライアントコンピューティングシステム１１０ａ〜１１０ｃのうちの１つに記憶された１つまたは複数のデータオブジェクトが、バックアップされる要件を満たすと判定される。この判定を行うために、バックアップポリシ、ユーザ入力、または他の手段を使用することができる。ブロック６０４において、一実施形態では、要件を満たしたそのデータオブジェクトに対応するメタデータおよびコンテンツデータをバックアップサーバ１５０に送信する。別の実施形態では、クライアントコンピューティングシステム１１０ａ〜１１０ｃのうちの１つまたは複数が、クラウドサービス１４０と直接インターフェイスするためのプラグインなどのソフトウェアを含む。

ブロック６０６で、要件を満たしたデータオブジェクトに対応する受信済みメタデータを使い、バックアップ情報のカタログを更新する。ブロック６０８で、バックアップサーバ１５０が、選択された暗号アルゴリズムを使用して受信コンテンツデータを暗号化する。一実施形態では、暗号セグメントのサイズが、バックアップ−書込みおよび暗号または復号の部分セグメントのサイズとバイト境界合わせされる。ブロック６１０で、暗号化したデータを、クラウドサービス１４０内の遠隔共用記憶サーバ１２０ａ〜１２０ｂのうちの１つなどの遠隔データ記憶域に送る。

次に図７に移ると、復元データを特定して受信する方法７００の一実施形態を示す一般化した流れ図が示されている。ブロック７０２で、バックアップサーバ１５０が、クライアントコンピューティングシステム１１０ａ〜１１０ｃのうちの１つから復元要求を受信することができる。この復元要求は、要求側のクライアントコンピューティングシステム１１０ａ〜１１０ｃのうちの１つに以前記憶されていた被選択データを特定することができる。ブロック７０４で、バックアップサーバ１５０はカタログを調べ、被選択データが所与のバックアップセグメントおよびバックアップ部分セグメント内に一意識別子とともに記憶されていると判定することができる。ブロック７０６で、バックアップサーバ１５０は、被選択データを含む最後のバックアップセグメント、要求されたデータの末尾を記憶する最後のバックアップ部分セグメントについて特定することができる。

ブロック７０８で、バックアップサーバ１５０は、最後のバックアップセグメントより前の任意の被選択バックアップセグメントを求める要求を、クラウドサービス１４０内の遠隔データ記憶域に送信することができる。ブロック７１０で、バックアップサーバ１５０は、最後のバックアップセグメント内の最後のバックアップ部分セグメントおよび先行する部分セグメントを、同一要求内でまたは別の要求内で、クラウドサービス１４０内の遠隔データ記憶域に要求することができる。ここでバックアップサーバ１５０は、要求された復元データを得るために、最後のバックアップセグメント全体を要求しなくてもよい。例えば、要求された復元データが最後のバックアップセグメント内にバックアップ部分セグメント０から４を含む場合、バックアップサーバ１５０は、そのバックアップセグメント全体ではなく、それらの５つのバックアップ部分セグメントを要求することができる。セグメントのサイズおよび部分セグメントのサイズのそれぞれが２５６ＫＢおよび１ＫＢであれば、バックアップサーバ１５０は、インターネットを介して伝送するように、２５６ＫＢではなく５ＫＢをクラウドサービス１４０に要求することになる。ブロック７１２で、バックアップサーバ１５０が、クラウドサービス１４０内の遠隔データ記憶域から、要求されたバックアップセグメントおよびバックアップ部分セグメントを受信する。

次に図８に移ると、ネットワークを介して受信した復元済みデータを復号する方法８００の一実施形態を示す一般化した流れ図が示されている。方法２００および６００〜７００と同様に、ネットワークアーキテクチャ１００内に具体化したコンポーネントは、方法８００に従って概して動作することができ、さらに方法８００のこの実施形態内の各ステップを順番に記載する。ただし、一部のステップは図示の順序とは異なる順序で行ってもよく、一部のステップは同時に実行してもよく、一部のステップは他のステップと組み合わせてもよく、一部のステップは別の実施形態ではなくてもよい。

ブロック８０２で、バックアップサーバ１５０が、クラウドサービス１４０内の遠隔データ記憶域からの最後のバックアップセグメントに先行する、任意の受信済みバックアップセグメントを復号することができる。バックアップセグメントごとに、その復号では、暗号化中に使用されたのと同じ暗号アルゴリズムおよび同じ各々の初期設定ベクトル５０２を利用することができる。ブロック８０４で、バックアップサーバ１５０は、要求され、受信されるデータの末尾を記憶している最後のバックアップ部分セグメントを特定することができる。ブロック８０６で、バックアップサーバ１５０は、復元するために要求されるデータに対応する、この最後のバックアップ部分セグメント内の最初のおよび最後の暗号部分セグメントを選択することができる。

選択された最初の暗号部分セグメントが、最後のバックアップ部分セグメントの始まりに整列する場合（条件ブロック８０８）、ブロック８１０で、バックアップサーバ１５０は対応する初期設定ベクトル５０２を選択することができる。例えば、ステップ８０６で選択される最初の暗号部分セグメントは、図５に示す部分セグメント３０２ａであり得る。ブロック８１２で、バックアップサーバ１５０は、選択されたベクトル５０２をまず使用して、選択された最初の部分セグメントから選択された最後の部分セグメントまでの各部分セグメントを復号することができる。

選択された最初の暗号部分セグメントが、最後のバックアップ部分セグメントの始まりに整列しない場合（条件ブロック８０８）、ブロック８１４で、バックアップサーバは、最後のバックアップ部分セグメント内の、最初に選択された暗号部分セグメントに先行する暗号部分セグメントを選択することができる。例えば、ステップ８０６で選択される最初の暗号部分セグメントは、図５に示す部分セグメント３０２ｃであり得る。したがって、バックアップサーバ１５０は、部分セグメント３０２ｃを復号するために暗号部分セグメント３０２ｂを選択し、その後、部分セグメント３０２ｂ内の余分なバイトを破棄することができる。ブロック８１６で、バックアップサーバは、先行する暗号部分セグメントをまず使用して、選択された最初の部分セグメントから選択された最後の部分セグメントまでの各暗号部分セグメントを復号することができる。

上記に記載した実施形態はソフトウェアを含み得ることを指摘しておく。そのような実施形態では、記載したシステムおよび／または方法を表すプログラム命令および／またはデータベース（いずれも「命令」と呼ぶことができる）をコンピュータ可読媒体上に伝え、または記憶することができる。一般的に言えば、コンピュータがアクセス可能な記憶媒体には、使用中のコンピュータによってアクセス可能な、コンピュータに命令および／またはデータを提供するための任意の記憶媒体が含まれ得る。例えば、コンピュータがアクセス可能な記憶媒体には、磁気媒体や光媒体などの記憶媒体、例えば（固定型または可換型）ディスク、テープ、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−ＲＷ、ＤＶＤ−Ｒ、ＤＶＤ−ＲＷ、ブルーレイが含まれ得る。記憶媒体には、ＲＡＭ（例えば同期型ダイナミックＲＡＭ（ＳＤＲＡＭ）、ダブルデータレート（ＤＤＲ、ＤＤＲ２、ＤＤＲ３等）式ＳＤＲＡＭ、低電力ＤＤＲ（ＬＰＤＤＲ２等）、ＳＤＲＡＭ、ラムバスＤＲＡＭ（ＲＤＲＡＭ）、スタティックＲＡＭ（ＳＲＡＭ）等）、ＲＯＭ、フラッシュメモリ、ユニバーサルシリアルバス（ＵＳＢ）インターフェイスなどの周辺インターフェイスを介してアクセス可能な不揮発性メモリ（例えばフラッシュメモリ）などの、揮発性記憶媒体または不揮発性記憶媒体がさらに含まれ得る。記憶媒体には、微小電子機械システム（ＭＥＭＳ）、ならびにネットワークおよび／または無線リンクなどの通信媒体を介してアクセス可能な記憶媒体が含まれてもよい。

様々な実施形態において、本明細書に記載した方法およびメカニズムの１つまたは複数の部分が、クラウドコンピューティング環境の一部を形成することができる。そのような実施形態では、１つまたは複数の様々なモデルに従い、リソースをサービスとしてインターネットを介して提供することができる。そうしたモデルには、サービスとしてのインフラストラクチャ（ＩａａＳ）、サービスとしてのプラットフォーム（ＰａａＳ）、およびサービスとしてのソフトウェア（ＳａａＳ）が含まれ得る。ＩａａＳでは、サービスとしてコンピュータインフラストラクチャが送られる。そのような場合、コンピューティング機器は概してサービスプロバイダが所有し、操作する。ＰａａＳモデルでは、ソフトウェアソリューションを開発するために開発者が使用するソフトウェアツールおよび基礎をなす機器がサービスとして提供され、サービスプロバイダによってホストされ得る。ＳａａＳは、典型的にはサービスプロバイダがサービスとしてソフトウェアをオンデマンドでライセンス供与することを含む。サービスプロバイダは、ソフトウェアをホストすることができ、またはソフトウェアを所与の期間にわたり顧客に展開することができる。上記のモデルの多数の組合せが可能であり、考えられる。

上記の実施形態をかなり詳細に説明してきたが、上記の開示を完全に理解すれば、数多くの改変形態および修正形態が当業者に明らかになるであろう。特許請求の範囲は、そのようなすべての改変形態および修正形態を包含するように解釈されることを目的とする。

１００ ネットワークアーキテクチャ
１１０ａ〜ｃ クライアントコンピューティングシステム
１２０ａ〜ｂ 遠隔共用記憶サーバ
１３０ スイッチ
１４０ クラウドサービス
１５０ バックアップサーバ
１５４ ファイルシステム
１５６ カタログメタデータ
１５８ バックアップマネージャ
１６０ａ〜ｂ 記憶装置
１６２ａ〜ｂ 記憶装置
１７０ メモリ
１７４ プロセッサ
１８０ ネットワーク
１９０ ネットワーク
２００ 方法
３００ 部分セグメントユニット
３０２、３０２ａ〜ｄ 暗号部分セグメント
３０４ サイズ
３０６、３０６ａ〜ｄ バックアップ部分セグメント
３０８ サイズ
４００ セグメントユニット
４０２、４０２ａ〜ｄ 暗号セグメント
４０４ サイズ
４０６ バックアップセグメント
５０２ 初期設定ベクトル
６００ 方法
７００ 方法
８００ 方法

Claims (20)

1. コンピュータによって実施される方法であって、
   バックアップサーバ上で、暗号化セグメントのサイズを有するユニットとしてデータを暗号化するステップと、
   第１のデータについてのクライアントコンピュータからのバックアップ要求に応答して、
   前記暗号化セグメントのサイズをそれぞれ有する１つまたは複数の暗号化セグメントとして、前記第１のデータを暗号化するステップと、
   記憶媒体上に記憶するために、前記１つまたは複数の暗号化セグメントを伝えるステップと、
   所与の暗号化セグメントに対応する第２のデータであって、前記暗号化されたサイズよりも小さいサイズを有する、第２のデータについての前記クライアントコンピュータからの復元要求に応答して、
   前記第２のデータを含む特定のデータであって、暗号化セグメントに含まれるよりも少ないデータを含む、特定のデータを前記記憶媒体から受信するステップと、
   前記特定のデータの少なくとも一部分を利用して、前記受信した第２のデータを復号するステップと
   を含む、方法。
2. 前記暗号化セグメントのそれぞれが複数の暗号化部分セグメントを含み、前記受信した第２のデータ内の最初の暗号化部分セグメントが前記所与の暗号化セグメントの始まりにないことを検出することに応答し、直前の暗号化部分セグメントを利用して、前記最初の暗号化部分セグメントを復号するステップをさらに含む、請求項１に記載の方法。
3. 前記受信した第２のデータ内の前記最初の暗号化部分セグメントが前記所与の暗号化セグメントの始まりにあることを検出することに応答し、前記最初の暗号化部分セグメントを暗号化するために使用された初期設定ベクトルを利用して、前記最初の暗号化部分セグメントを復号するステップをさらに含む、請求項２に記載の方法。
4. 暗号化に使用されるアルゴリズムが、直前の暗号化部分セグメントを鍵として利用することにより所与の暗号化部分セグメントを復号することを可能にする特性を有する、請求項２に記載の方法。
5. 前記特定のデータの始まりが、前記所与の暗号化セグメントの始まりに整列される、請求項４に記載の方法。
6. 前記アルゴリズムが、暗号化中にデータをパディングしない特性を有する、請求項５に記載の方法。
7. 前記バックアップサーバと前記記憶媒体とが、インターネットを介して結合される、請求項４に記載の方法。
8. 前記記憶媒体が、前記クライアントコンピュータおよび前記バックアップサーバに対してオフサイトである、請求項７に記載の方法。
9. 暗号化セグメントのサイズを有するユニットとしてデータを暗号化するように構成されるバックアップサーバと、
   ネットワークを介して前記バックアップサーバに結合されるクライアントコンピュータと、
   前記バックアップサーバに結合される記憶媒体と
   を含むコンピューティングシステムであって、
   第１のデータについての前記クライアントコンピュータからのバックアップ要求に応答して、前記バックアップサーバが、
   前記暗号化セグメントのサイズをそれぞれ有する１つまたは複数の暗号化セグメントとして、前記第１のデータを暗号化し、
   前記記憶媒体上に記憶するために、前記１つまたは複数の暗号化セグメントを伝えるように構成され、
   所与の暗号化セグメントに対応する第２のデータであって、前記暗号化されたサイズよりも小さいサイズを有する、第２のデータについての前記クライアントコンピュータからの復元要求に応答して、前記バックアップサーバが、
   前記第２のデータを含む特定のデータであって、暗号化セグメントに含まれるよりも少ないデータを含む、特定のデータを前記記憶媒体から受信し、
   前記特定のデータの少なくとも一部分を利用して、前記受信した第２のデータを復号するように構成される、コンピューティングシステム。
10. 前記暗号化セグメントのそれぞれが複数の暗号化部分セグメントを含み、前記受信した第２のデータ内の最初の暗号化部分セグメントが前記所与の暗号化セグメントの始まりにないことを検出することに応答し、前記バックアップサーバが、直前の暗号化部分セグメントを利用して、前記最初の暗号化部分セグメントを復号するようにさらに構成される、請求項９に記載のコンピューティングシステム。
11. 前記受信した第２のデータ内の前記最初の暗号化部分セグメントが前記所与の暗号化セグメントの始まりにあることを検出することに応答し、前記バックアップサーバが、前記最初の暗号化部分セグメントを暗号化するために使用された初期設定ベクトルを利用して、前記最初の暗号化部分セグメントを復号するようにさらに構成される、請求項１０に記載のコンピューティングシステム。
12. 暗号化に使用されるアルゴリズムが、直前の暗号化部分セグメントを鍵として利用することにより所与の暗号化部分セグメントを復号することを可能にする特性を有する、請求項１０に記載のコンピューティングシステム。
13. 前記特定のデータの始まりが、前記所与の暗号化セグメントの始まりに整列される、請求項１２に記載のコンピューティングシステム。
14. 前記アルゴリズムが、暗号化中にデータをパディングしない特性を有する、請求項１３に記載のコンピューティングシステム。
15. 前記バックアップサーバと前記記憶媒体とが、インターネットを介して結合される、請求項１２に記載のコンピューティングシステム。
16. 前記記憶媒体が、前記クライアントコンピュータおよび前記バックアップサーバに対してオフサイトである、請求項１５に記載のコンピューティングシステム。
17. プログラム命令を記憶するコンピュータ可読記憶媒体であって、前記プログラム命令は、
    バックアップサーバ上で、暗号化セグメントのサイズを有するユニットとしてデータを暗号化し、
    第１のデータについてのクライアントコンピュータからのバックアップ要求に応答して、
    前記暗号化セグメントのサイズをそれぞれ有する１つまたは複数の暗号化セグメントとして、前記第１のデータを暗号化し、
    記憶媒体上に記憶するために、前記１つまたは複数の暗号化セグメントを伝え、
    所与の暗号化セグメントに対応する第２のデータであって、前記暗号化されたサイズよりも小さいサイズを有する、第２のデータについての前記クライアントコンピュータからの復元要求に応答して、
    前記第２のデータを含む特定のデータであって、暗号化セグメントに含まれるよりも少ないデータを含む、特定のデータを前記記憶媒体から受信し、
    前記特定のデータの少なくとも一部分を利用して、前記受信した第２のデータを復号する
    ように実行可能である、コンピュータ可読記憶媒体。
18. 前記暗号化セグメントのそれぞれが複数の暗号化部分セグメントを含み、前記受信した第２のデータ内の最初の暗号化部分セグメントが前記所与の暗号化セグメントの始まりにないことを検出することに応答し、前記プログラム命令が、直前の暗号化部分セグメントを利用して、前記最初の暗号化部分セグメントを復号するようにさらに実行可能である、請求項１７に記載のコンピュータ可読記憶媒体。
19. 暗号化に使用されるアルゴリズムが、直前の暗号化部分セグメントを鍵として利用することにより所与の暗号化部分セグメントを復号することを可能にする特性を有する、請求項１７に記載のコンピュータ可読記憶媒体。
20. 前記特定のデータの始まりが、前記所与の暗号化セグメントの始まりに整列される、請求項１９に記載のコンピュータ可読記憶媒体。

Images