[发明专利]用于数据去重的不透明加密

说明书

一种计算机实现的方法包括在存储系统处接收去重信息。去重信息是存储系统为对其执行操作而可访问的。去重信息包括与客户端数据的部分相关联的签名。该方法还包括接收接收用客户端密钥加密的客户端数据。客户端密钥是存储系统不可用的。该方法包括对照客户端数据的组块对存储在存储系统中的数据组块进行去重，其中客户端数据组块是为了去重而用去重信息从客户端数据选择的。

技术领域

本发明涉及数据去重，更具体地，本发明涉及用于云存储系统和网络中的数据去重的不透明加密。

背景技术

传统的数据缩减技术(诸如去重和/或压缩)在应用于加密数据时不提供有意义的缩减。在不同加密算法阻止常规去重过程识别重复数据组块的情况下，各自用唯一性加密钥加密的多个数据集的去重分解。传统的数据缩减技术也不能在客户端和存储系统之间提供足够的数据隐私性。

例如，一种已知的自带钥(BYOK)加密技术涉及多方信任系统。虽然所有数据缩减功能可以由可访问所有数据的存储系统提供，但是传统的BYOK系统在存储系统和客户端之间没有数据隐私，因为存储系统可以访问客户端钥(client key)。第三方钥服务也可以访问用于加密客户端数据的共享加密钥。对于这种形式的BYOK加密来说，数据隐私仅存在于用户之间。

传统的静态加密利用存储系统已知的钥来对未加密的输入数据进行加密。存储系统可以对所有数据进行解密并对系统中的所有数据执行去重。然而，静态加密不提供数据隐私。

传统的完全客户端侧加密用存储系统不知道的钥对数据进行加密。存储系统仅对用共有钥(common key)加密的数据进行去重。完全客户端侧去重提供相对高的数据隐私，但是妨碍去重效率。

因此，在本领域中需要解决上述问题。

发明内容

从第一方面来看，本发明提供一种计算机实现的方法，包括：在存储系统处接收去重信息，其中，去重信息是存储系统为对其执行操作而可访问的，其中，去重信息包括与客户端数据的部分相关联的签名；接收用客户端密钥(client secret key)加密的客户端数据，其中，客户端密钥是存储系统不可用的；以及对照客户端数据的组块对存储在存储系统中的数据组块进行去重，其中，客户端数据组块是为了去重而用去重信息从客户端数据选择的。

从另一方面来看，本发明提供了一种用于不透明加密的计算机程序产品，该计算机程序产品包括计算机可读存储介质，该计算机可读存储介质具有包含在其中的程序指令，该程序指令可由计算机执行以使得该计算机：在存储系统处接收去重信息，其中，去重信息是存储系统为对其执行操作而可访问的，其中，去重信息包括与客户端数据的部分相关联的签名；接收用客户端密钥加密的客户端数据，其中，客户端密钥是存储系统不可用的；以及对照客户端数据的组块对存储在存储系统中的数据组块进行去重，其中，客户端数据组块是为了去重而用去重信息从客户端数据选择的。

从另一方面来看，本发明提供一种系统，包括：处理器；以及与处理器集成、由处理器可执行、或者与处理器集成且可执行的逻辑，该逻辑被配置为：在存储系统处接收去重信息，其中，去重信息是存储系统为对其执行操作而可访问的，其中，去重信息包括与客户端数据的部分相关联的签名；接收用客户端密钥加密的客户端数据，其中，客户端密钥是存储系统不可用的；以及对照客户端数据的组块对存储在存储系统中的数据组块进行去重，其中，客户端数据组块是为了去重而用去重信息从客户端数据选择的。

从另一方面来看，本发明提供一种计算机实现的方法，包括：生成去重信息，其中，去重信息包括与客户端数据的部分相关联的签名；用共享钥(shared key)对去重信息进行加密；用客户端密钥对客户端数据进行加密；将去重信息和客户端数据发送到存储系统用于去重；从存储系统请求客户端数据；以及接收客户端数据作为数据组块，其中，数据组块中的一个或多个是用客户端密钥加密的且数据组块中的一个或多个是用共享钥加密的。