(57)【要約】      （修正有）【課題】ユーザ・クライアント装置から、ファイルをオンライン・ストレージ・システムにアップロードする。【解決手段】オンライン・ストレージ・システムは、ファイルを記憶する標的ストレージ装置１１に結合されたストレージ・サーバ１０を備える。ゲートウェイはユーザ・クライアント装置３０から、アップロードされたファイルを受信し、アップロードされたファイルをゲートウェイ・ストレージ装置に記憶する。ゲートウェイは、ストレージ・サーバにおいて、標的ストレージ装置内のアップロードされたファイルの存在を確かめる。ファイルが標的ストレージ装置内に存在していない場合、ゲートウェイはファイルを標的ストレージ装置にアップロードし、ファイルが標的ストレージ装置に存在している場合、ゲートウェイは、標的ストレージ装置に記憶されたファイルへのリンクを作成する。【選択図】図２
2012234530.tif 000002
【特許請求の範囲】
【請求項１】
ゲートウェイを介してユーザ・クライアント装置からファイルをオンライン・ストレージ・システムにおいてアップロードする方法であって、前記ゲートウェイは、ローカル・エリア・ネットワークを介して前記クライアント装置に接続され、ワイド・エリア・ネットワークを介して前記オンライン・ストレージ・システムに接続され、
前記オンライン・ストレージ・システムは、前記ファイルを記憶する標的ストレージ装置に結合されたストレージ・サーバを含み、
前記ゲートウェイは前記ユーザ・クライアント装置から、アップロードされたファイルを受信し、
前記ゲートウェイは、前記アップロードされたファイルをゲートウェイ・ストレージ装置に記憶し、
前記ゲートウェイは、前記ストレージ・サーバに、前記標的ストレージ・サーバに前記アップロードされたファイルが存在しているかを確かめ、
前記ファイルが前記標的ストレージ装置に存在していない場合、前記ゲートウェイは前記ファイルを前記標的ストレージ装置にアップロードし、前記ファイルが前記標的ストレージ装置に存在している場合、前記ゲートウェイは、前記標的ストレージ装置に記憶された前記ファイルへのリンクを作成する方法。
【請求項２】
請求項１記載の方法であって、前記ファイルが前記標的ストレージ装置に存在している場合、前記ゲートウェイが、前記ワイド・エリア・ネットワーク上のトラフィックを混乱させるステップを施す方法。
【請求項３】
請求項２記載の方法であって、前記トラフィックを混乱させるために、前記ゲートウェイは前記ワイド・エリア・ネットワーク上の前記トラフィックを維持する方法。
【請求項４】
請求項３記載の方法であって、前記トラフィックを維持するために、前記ゲートウェイは前記ワイド・エリア・ネットワーク上でスタッフィング・データを送出する方法。
【請求項５】
請求項１乃至４の何れか一項に記載の方法であって、前記ローカル・エリア・ネットワークは、
レジデンシャル・ネットワーク及び
無線ローカル・エリア・ネットワーク
のうちから選ばれる方法。
【請求項６】
請求項１乃至５の何れか一項に記載の方法であって、前記ワイド・エリア・ネットワークは、
ディジタル加入者回線及び
メトロポリタン・エリア・ネットワーク
のうちから選ばれる方法。  
【請求項７】
第１のネットワークを介してユーザ・クライアント装置に接続され、第２の通信ネットワークを介してストレージ・サーバに接続されたゲートウェイであって、顧客の施設に配置されるゲートウェイは、  
ユーザ・クライアント装置からアップロードされたファイルを記憶するゲートウェイ・ストレージ装置を備え、
前記ゲートウェイは、前記ゲートウェイ・ストレージ装置に記憶されたファイルが既に前記標的ストレージ装置に存在しているかを前記ストレージ・サーバに確かめ、前記標的ストレージ装置に既に存在している訳でない場合にのみ前記標的ストレージ装置に前記ファイルをアップロードすることができるゲートウェイ。
【請求項８】
請求項７記載のゲートウェイであって、前記ゲートウェイは前記ストレージ・サーバとセキュア通信リンクを介して通信するゲートウェイ。
【請求項９】
請求項７又は８に記載のゲートウェイであって、前記ゲートウェイは、前記ファイルが前記ゲートウェイから前記サーバ・ストレージ装置にアップロードされていない場合でもトラフィックを維持するように前記ゲートウェイと前記ストレージ・サーバとの間のトラフィックを管理するための帯域幅マネージャを備えるゲートウェイ。
【請求項１０】
請求項９記載のゲートウェイであって、前記帯域幅マネージャは、前記ファイルがアップロードされていない場合に前記トラフィックを維持するためにスタッフィング・データを前記ストレージ・サーバに送出するゲートウェイ。
【請求項１１】
請求項７乃至１０の何れか一項に記載のゲートウェイであって、前記ゲートウェイは、インターネット・サービス・プロバイダのボックスに含まれるゲートウェイ。
【請求項１２】
請求項７乃至１１の何れか一項に記載のゲートウェイであって、前記ゲートウェイと前記ユーザ・クライアント装置との間の前記第１のネットワークが、
レジデンシャル・ネットワーク、
ローカル・エリア・ネットワーク、及び
無線ローカル・エリア・ネットワーク
のうちから選ばれるゲートウェイ。  
【請求項１３】
請求項７乃至１２の何れか一項に記載のゲートウェイであって、前記ゲートウェイと前記ストレージ・サーバとの間の前記第２のネットワークが、
ディジタル加入者回線、
メトロポリタン・エリア・ネットワーク、及び
ワイド・エリア・ネットワーク
のうちから選ばれるゲートウェイ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザ・クライアント装置からのファイルをオンライン・ストレージ・システムにおいてアップロードする方法、及び対応するオンライン・ストレージ・システムに関する。
【背景技術】
【０００２】
消費者向クラウド・ストレージ・サービスは、例えば、主に、オンサイト・バックアップ・ソリューションが保護を提供することが可能でない、例えば火災又は洪水などの巨大損害リスクに対して提供する保護により、一層普及してきている。ストレージ空間及びアップロード時間の最適化のために、以降ＳＳＰと呼ぶストレージ・サービス・プロバイダは、ユーザのデータに対して重複排除手法を施す。重複排除は、複数のユーザ・アカウントにわたって施される場合に最も効果的であるので、アカウント間重複排除は、ＳＳＰのうちで、好ましい重複排除手法となり得る。しかし、アカウント間重複排除は、重大なプライバシ上の意味を有する。オンライン・ストレージのユーザが、自分のデータのコントロールをＳＳＰに委ねるということ以外に、アカウント間重複排除を敵対者（オンライン・ストレージ・システムの、悪意のあるユーザ）により、サイド・チャネルとして使用して、他のユーザのファイルのコンテンツについての情報を得ることが可能であるということが、非特許文献１において最近、明らかにされている。
【０００３】
図１は、従来技術のオンライン・ストレージ・システムのアーキテクチャを略示している。ＳＳＰはストレージ・サービス・プロバイダを表し、アリス及びボブは、オンライン・ストレージ・サービスの二顧客を表す。従来技術のオンライン・ストレージ・システムにおいて重複排除を実現するための基本手法は２つ存在している。
【０００４】
サーバベースの手法では、重複排除は、標的ストレージ・サービスで行われ、顧客には、ＳＳＰによる重複排除の終局的な使用は分からない。クライアント・ソフトウェアは、ストレージ・サ―バ内のファイルの存在と無関係に、ファイルのコンテンツをストレージ・サーバに送出する。ＳＳＰのサーバ・ソフトウェアは、ファイルがストレージ・サーバに存在していないかを確かめ、ファイルがストレージ・サーバに存在していない場合にのみ、ファイルをサーバに記憶し、さもなければ、既に存在しているファイルに向けてのポインタにより、ファイルを置き換える。前述の手法はストレージの重複を避けるが、アップロード帯域幅を節減しない。
【０００５】
クライアントベースの手法では、重複排除は、データのソースで行われる。ファイルを送出する前に、クライアント・ソフトウェアは、ファイルが既にストレージ・サーバに存在しているかを検査するために、例えば、コンテンツのハッシュを送出することにより、ストレージ・サーバと通信し合う。ファイルが既にストレージ・サーバに存在している場合、サーバ・ソフトウェアは、重複部分をポインタと置き換え、ネットワークを介して実際のファイルを送出しない旨をクライアントに要求する。この手法は、ストレージの重複を避け、アップロード帯域幅を節減する。
【０００６】
クライアントベースの手法を使用してアカウント間の重複排除を実現した結果は、ストレージ・システムの何れのユーザも、重複排除がいつ行われるかをみて、ストレージ・サーバにファイルが既に存在しているかを推論することが可能であるというものである。重複ファイルがユーザのアカウントに記憶されているか、別のユーザのアカウントに記憶されているかということと無関係にこのことが考えられる。ユーザは、例えば、ネットワークを介して転送されたデータの量を検査することにより、このことを行うことが可能である。
【０００７】
悪意のあるユーザは、
１）「ファイル識別」攻撃（何れの他のユーザも有している可能性の低い特定の機密ファイルＸをオンライン・ストレージ・システムにおいてボブが格納しているのではないかと攻撃者たるアリスが推察していると仮定する。アリスは、自分の推察を確かめるために、ファイルＸの複製を保存しようとすることが可能であり、重複排除が生じるか否かを確かめる）、及び
２）「ファイルのコンテンツの情報を得る」攻撃（攻撃者たるアリスは、ファイル識別攻撃を同じファイルの複数のバージョンに対して施して、複製ファイルに含まれる機密情報を得ることが可能である。この攻撃は、テンプレートの少しの変動を伴って中位の数のバージョンを生成するために使用することが可能な重複ファイルの標準テンプレートを有すると仮定する）
を行うために、クライアントベースのアカウント間オンライン・ストレージ・システムのこの特性を駆使することが可能である。
【０００８】
クライアントベースのアカウント間オンライン・ストレージ・システムにおけるデータ漏洩のリスクを除去しないが削減する機構が最近提案されている。上記提案は基本的には以下の通りである。
【０００９】
ファイルＸ毎に、ストレージ・サーバは、閾値ｔｘを割り当て、ファイルＸの少なくともｔｘ個の複製がオンライン・ストレージ・システムにアップロードされている場合にのみ、ファイルＸの重複排除を行う。閾値ｔｘは整数範囲［２，ｄ］においてランダムに選ばれ、ここで、ｄは、パブリック（例えば、ｄ＝２０）であり得るパラメータである。サーバ以外はｔｘを計算することができない。
【００１０】
ファイルの１／（ｄ−１）を除く全てについて、情報は漏洩されないが、閾値がｔｘ＝２又はｔｘ＝ｄにセットされた残りのファイルについて、攻撃者は、ファイルの複製がストレージ・システムにアップロードされているか否かが分かり得る。攻撃者が、ストレージ・サーバ内にファイルＸが存在していると判定する確率は最大１／（ｄ−１）である。前述の手法は、ランダム化された重複排除手法と呼ばれる。
【００１１】
前述のソリューションのコストに関し、前述の手法を提案した人々は、普及しているファイルが、ｄ個の複製よりもずっと多くの数の複製を有する場合、期待されたコストは、重複排除を使用することの便益と比較して小さい。ｄの値が大きいと、コストが高くなる一方、より好適なセキュリティをもたらす。
【００１２】
オンライン・ストレージ・サービスがアカウント間の重複排除を施し、重複排除にクライアントベースの手法を使用する場合にのみ、前述の攻撃が終局的に首尾良く行われることが可能である。サーバベースの手法が使用された場合に攻撃は効果的でないが、その場合、重複排除の帯域幅最適化の便益は失われる。ファイルは常にストレージ・サーバにアップロードされており、重複排除プロセスがサーバ側で実行されるからである。しかし、サーバベースの重複排除手法が使用されると、顧客は、重複排除の生起の識別が阻止される。
【００１３】
データ漏洩のリスクが、ランダム化された重複排除手法によって削減されても、ゼロには削減されない。更に、ランダム化された重複排除手法は、クライアントベースの重複排除と比較して更なる帯域幅を消費する。前述の手法（すなわち、クライアントベースの手法、及びランダム化されたサーバベースの手法）におけるデータ漏洩のリスクは、クライアントにストレージ・サーバへの直接リンクを有していることによって生じる。すなわち、クライアントがコンテンツ・アップロード・プロセスに対する直接アクセスを有する状態にある場合にはいつでも、サイド・チャネル及びオラクル攻撃が実行可能である。
【先行技術文献】
【非特許文献】
【００１４】
【非特許文献１】Ｄ．  Ｈａｒｎｉｋ、  Ｂ．  Ｐｉｎｋａｓ、  及びＡ．  Ｓｈｕｌｍａｎ−Ｐｅｌｅｇ  「Ｓｉｄｅ  ｃｈａｎｎｅｌｓ  ｉｎ  ｃｌｏｕｄ  ｓｅｒｖｉｃｅｓ  ｄｅ−ｄｕｐｌｉｃａｔｉｏｎ  ｉｎ  ｃｌｏｕｄ  ｓｔｏｒａｇｅ，  ＩＥＥＥ  Ｓｅｃｕｒｉｔｙ  ｆｄ  Ｐｒｉｖａｃｙ，  ｖｏｌ．  ８，  ｎｏ．  ６」  西暦２０１０年１１月  ｐｐ．  ４０−４７
【発明の概要】
【発明が解決しようとする課題】
【００１５】
上記課題は、大部分が本発明の方法によって解決される。本発明の目的は、アカウント間重複排除をＳＳＰが施すことを可能にし、同時に、システムに記憶されたファイル全ての情報漏洩のリスクをかなり削減するオンライン・ストレージ・システムにおいてファイルを記憶する方法を提案することである。
【課題を解決するための手段】
【００１６】
本発明によれば、クライアントベースの手法と同様に、攻撃者により、サイド・チャネルとして使用することが可能でない重複排除のゲートウェイベースの手法を提案する。
【００１７】
本発明の一目的は、請求項１記載の、ユーザ・クライアント装置からファイルをオンライン・ストレージ・システムにおいてアップロードする方法である。
【００１８】
本発明の別の目的は、請求項７記載のゲートウェイである。
【図面の簡単な説明】
【００１９】
【図１】従来技術のオンライン・ストレージ・システムのアーキテクチャを示す、既に説明した図である。
【図２】本発明による、オンライン・ストレージ・システムを示す図である。
【図３】本発明による方法のステップを示す図である。
【図４】図２のシステムの第１のソフトウェア・アーキテクチャを示す図である。
【図５】図２のシステムの第２のソフトウェア・アーキテクチャを示す図である。
【図６】図５のシステムの帯域幅マネージャの機能を示す図である。
【発明を実施するための形態】
【００２０】
本発明の他の目的及び利点は、以下の詳細な説明を読み、添付図面を参照することにより、明らかになるであろう。
【実施例】
【００２１】
本発明には、種々の修正及び別の形態が可能である。その特定の実施例を図面において例示し、本明細書及び特許請求の範囲において詳細に説明する。しかし、それに対する図面及び詳細な説明は、開示された特定の形態に本発明を限定することを意図するものでない。逆に、特許請求の範囲記載の本発明の趣旨及び範囲内に収まる修正、均等物、及び代替策を包含することを意図している。
【００２２】
本発明によれば、ストレージ・サーバ・プロバイダが、重複排除をユーザに対してトランスペアレントにすることが可能であるように、図２に示すように、オンライン・ストレージ・ソフトウェアの一部をストレージ・サーバからレジデンシャル・ゲートウェイに移すことが提案されている。こうすることにより、ＳＳＰは、他のユーザのアカウントから情報を得るためにサイド・チャネルとして重複排除を、悪意のあるユーザが使用することを阻止する。前述の処理は、ストレージ・サービス・プロバイダ（ＳＳＰ）が、アカウント内重複排除及びアカウント間重複排除を施すことを可能にし、悪意のあるユーザが他のユーザのアカウントから情報を得るというリスクをかなり削減する。
【００２３】
図２は、本発明によって提案されたオンライン・ストレージ・システムのアーキテクチャを示す。オンライン・ストレージ・システムは、標的ストレージ装置１１及びゲートウェイ２０に結合されたストレージ・サーバ１０を備える。各ゲートウェイには、ゲートウェイ・ストレージ装置２１が装備される。ユーザ・クライアント装置３０はゲートウェイ２０を介してＳＳＰのストレージ・サーバに接続される。標的ストレージ装置１１は、ユーザ・クライアント装置３０からのファイルを記憶すると認められる。本図では、アリス、ボブ、デーブ、及びイブは、オンライン・ストレージ・サービスの顧客を表す。ユーザ・クライアント装置３０とゲートウェイ２０との間のリンクは、例えば、レジデンシャル・ネットワーク、ローカル・エリア・ネットワーク（ＬＡＮ）、又は無線ローカル・エリア・ネットワークであり得る。
【００２４】
システムの通信セグメントそれぞれにおいて利用可能な帯域幅は例証の目的でのみ表す。１００Ｍｐｓは、レジデンシャル・ネットワーク（イーサネット（登録商標））において通常利用可能な帯域幅である。２０Ｍｂｐｓ及び１Ｍｂｐｓはそれぞれ、ｘＤＳＬインターネット・アクセスにおいてよく用いられる下りリンク２６及び上りリンク２５の帯域幅である。
【００２５】
この実施例では、ユーザ・クライアント装置は、レジデンシャル・ネットワークからオンライン・ストレージ・システムにアクセスし、インターネット・サービス・プロバイダ（ＩＳＰ）によって提供されるゲートウェイには、中位の量のデータ（例えば、５００Ｍバイト）を記憶することができるゲートウェイ・ストレージ装置が装備される。
【００２６】
ユーザ・クライアント装置３０が標的ストレージ装置１１にファイルＸをアップロードしたい場合に行われる方法は図３に示す。これは以下のステップを含む。
【００２７】
ステップＳ１：ユーザ・クライアント装置３０はファイルＸをゲートウェイ２０にアップロードする。ゲートウェイは常に、ユーザ・クライアント装置からファイルＸを受け入れる。
【００２８】
ステップＳ２：ゲートウェイ２０は、アップロードされたファイルをゲートウェイ・ストレージ装置２１に記憶する。
【００２９】
ステップＳ３：ゲートウェイ２０は、アップロードされたファイルが標的ストレージ装置１１に存在しているか否かについてストレージ・サーバ１０に確かめる。
【００３０】
ステップＳ４：上記ファイルが標的ストレージ装置１１に存在していない場合、ゲートウェイ２０はファイルを標的ストレージ装置にアップロードし、ファイルが標的ストレージ装置に存在している場合、ゲートウェイは、標的ストレージ装置に記憶されたファイルへのリンクを作成する。これは、前述の動作が、ストレージ・サーバによる、ファイルとユーザとの間の関係の記憶をトリガすることを意味する。
【００３１】
重複排除手法は当業者によって知られている。例えば、ゲートウェイは、ファイルのハッシュ値を計算し、それをストレージ・サーバに送出する。サーバは、ストレージ装置におけるファイルの利用可能性を確かめ、回答する。このハッシュ値を計算するための手法は多く存在している（例えば、ＳＨＡ２５６、ＭＤ５等）。当然、これは限定的な例でない。ハッシュ値は指紋で置き換えることができる。
【００３２】
図４は、本発明による、重複排除のゲートウェイベースの手法を使用した、オンライン・ストレージ・システムのソフトウェア・アーキテクチャを示す。
【００３３】
システムのソフトウェアは、別々の場所に配置された別々の装置上で実行する４つのモジュールを含む。ＳＳＰストレージ・サーバはＳＳＰの施設に配置され、ゲートウェイ・サーバ２２及びクライアントは、顧客の施設に配置されたＩＳＰゲートウェイ上で実行し、ユーザ・クライアントは、ユーザの装置上（例えば、ＰＣ上、静止画カメラ上、電話機上等）で実行する。
【００３４】
ユーザがファイルＸをオンライン・ストレージ・システムにアップロードしたい場合に行われる処理は２段階で行われる。すなわち、第１の段階では、ユーザ・クライアントはファイルＸをゲートウェイ・サーバ２２にアップロードし、第２の段階では、ゲートウェイ・クライアント２３はファイルＸをＳＳＰサーバ（ストレージ・サーバ）にアップロードする。
【００３５】
ＳＳＰが重複排除を実現しているとユーザが判定することが可能でないように、ゲートウェイ・サーバ２２はユーザ・クライアントからのファイルＸを常に受け入れる。ゲートウェイ・サーバ２２はファイルをゲートウェイ・ストレージ装置２１に記憶し、ゲートウェイ・クライアント２３に対するアップロード・タスクを処理する。重複排除を行うのはゲートウェイ・クライアント２３である。すなわち、ゲートウェイ・クライアント２３は、ファイルＸが標的ストレージ装置に存在していないことを検証するためにＳＳＰサーバに連絡し、Ｘが存在していない場合にのみ、ファイルＸをＳＳＰサーバにアップロードする。さもなければ、ゲートウェイはＳＳＰサーバに連絡し、ストレージ装置に記憶されたファイルに対するリンクを作成する旨を要求する。ユーザ・クライアントのアカウントにおけるＳＳＰサーバは、元のファイルとのリンクを加える。
【００３６】
リンクを作成するために、多くの手法が利用可能である。例えば、サーバは、ファイルのポインタ、このファイルのハッシュ又は指紋、及びユーザのリストをテーブルに記憶する。このファイルをアップロードした各ユーザの識別子がこのリストに加えられる。別の可能性として、アップロードしたファイルのリストを備えたテーブルをユーザ毎に記憶するということがある。ファイルのリストはハッシュ値のリストであり得る。当業者によって知られているデータベース又は何れかの他の技術的手法も、この管理を行うために使用することが可能である。
【００３７】
本発明では、帯域幅の節減は主に、ゲートウェイからＳＳＰサーバまでの通信セグメント上であるが、ユーザ装置からゲートウェイまでのセグメント上の帯域幅の節減は存在しない。ゲートウェイからＤＳＬＡＭまでの通信セグメントでは、一部の帯域幅は浪費され得る。通常の状態では、すなわち、ユーザが同時に、クラウド・ストレージ・サービス、及びゲートウェイによって提供されるその他のサービスのうちの少なくとも１つを実行する場合には、上りリンク２５で利用可能な帯域幅は全部利用することが可能である。しかし、（悪意があるかないかに係わらず）ユーザが、クラウド・ストレージ・サービスのみを使用し、利用可能な他のサービス全てをシャットダウンした場合、ファイルＸの終局的な重複排除を隠し、潜在的な敵対者を混乱させるために、ランダムに暗号化された特定のトラフィックで上りリンク２５を詰め込み得る。
【００３８】
いずれにせよ、サーバベースの重複排除が使用されるクラウド・ストレージ・システムに関し、ユーザへのペナルティは課されない。更に、レジデンシャル・ネットワークのレベルにおける帯域幅の節減は、ＷＡＮレベルでの帯域幅の節減ほど重大な意味を持つものでない。まず、家庭で利用可能な帯域幅（１００Ｍｂｐｓ）が、上りリンク２５の帯域幅（１Ｍｂｐｓ）よりもずっと高いからであり、第２に、ＤＳＬＡＭとＳＳＰサーバとの間のホップの数が、ゲートウェイとＤＳＬＡＭとの間の単一のホップよりも高いからである。インターネット・メトリックに関するいくつかの報告書は、ホストとサーバとの間の平均ホップ数は約１５であるということを示している。ＷＡＮという語は、ワイド・エリア・ネットワークとして当業者によって知られている。ＷＡＮは、本明細書及び特許請求の範囲では、ＭＡＮ（メトロポリタン・エリア・ネットワーク）又はｘＤＳＬ（ディジタル加入者回線）として理解してもよい。ｘＤＳＬ回線は、後述する好ましい実施例におけるＡＤＳＬ回線である。
【００３９】
ＳＳＰは、オンライン・ストレージ・サービス全体のインテグリティを維持するためにゲートウェイ上の、必要なセキュリティ及びアクセス制御機構を実現しなければならない。したがって、ユーザは、ＡＤＳＬリンク上でネットワーク活動をみることができるべきでなく、よって、重複排除が行われるか否かを判定することができるべきでない。すなわち、悪意のあるユーザは、上述した攻撃の何れも首尾良く行うことができるべきでない。
【００４０】
ゲートウェイ上のセキュリティ及びアクセス制御機構に関するこの要件は、満たすのが困難でない。実際に、インターネット・サービス・プロバイダがその顧客にオンライン・ストレージ・サービス及びインターネット・アクセスのパッケージを提供した場合、その要件は満たすのが極めて単純である。ＳＳＰ及びＩＳＰが同じ機関であるからである。さもなければ、ＩＳＰがゲートウェイ上のオンライン・ストレージ・サービスに対してセキュリティ及びアクセス制御機構を実現するようにＳＳＰはＩＳＰとの合意を得るべきである。
【００４１】
本発明によるオンライン・ストレージ・システムは、よって、ストレージ空間及びアップロード帯域幅を節減するためにアカウント間重複排除をＳＳＰに施させると同時に、悪意のあるユーザが重複排除をサイド・チャネルとして使用してシステムを攻撃し、他のユーザのデータから情報を得るというリスクをかなり削減するシステムである。
【００４２】
システムは、インターネット・アクセスの場合にレジデンシャル・ネットワークにおいて一般的なゲートウェイに基づく。ゲートウェイは、ユーザからのアップロード要求及びダウンロード要求を処理する、サーバ及びクライアントのためのホストである。
【００４３】
ＳＳＰサーバに対するデータの実際のアップロードを行う前にＳＳＰサーバと通信することにより、アカウント間重複排除を行う役目を担うのは、ゲートウェイ・クライアント２３である。ゲートウェイ・サーバ２２は重複排除を行わず、ユーザ・クライアントからのデータを常に受け入れるので、ユーザは、重複排除が行われるか否かをみることは可能でない。
【００４４】
本ソリューションはレジデンシャル・ネットワークのゲートウェイに基づいているが、本発明は他のインターネット・アクセス・ネットワークに施すことが可能である。本発明の考えは、ＳＳＰがアカウント間重複排除を施すと判定することができるようにしてはならないというものである。したがって、ＳＳＰは、ユーザ・クライアントがＳＳＰサーバと直接通信せず、むしろ、重複排除を実現しないこの新たなサーバと通信するように、サーバクライアント対を、ユーザ・クライアントとＳＳＰサーバとの間の通信経路に挿入しなければならない。重複排除タスクの役目を担うのは、挿入されたサーバクライアント対のクライアントである。すなわち、ユーザは、ユーザに対して重複排除を隠すセキュア・プロキシを介してオンラインＳＳＰサーバと通信する。
【００４５】
好ましい実施例では、帯域幅マネージャ２４が、図５に示すようにシステムのゲートウェイに加えられる。ゲートウェイ帯域幅マネージャ２４の役割は、終局的な敵対者を混乱させることである。実際に、悪意のあるユーザは、上りリンク２５の帯域幅利用可能性を監視し、重複排除が行われるか否かを推論するために帯域幅検査ツールを使用することが可能である。よって、この帯域幅マネージャ２４は、サイド・チャネルとして重複排除を使用する攻撃に対するシステムの耐性の向上に資する。
【００４６】
帯域幅マネージャ２４は、混乱を実現するためにいくつかのストラテジを施し得る。この帯域幅マネージャ２４のスケジューラの詳細は、その役割を例証するために後述する。
【００４７】
Ｄ、Ｅ、及びＦは、異なるＱｏＳ（サービス品質）要件をそれぞれが有する３つの異なるタイプのサービスであるとする。Ｄは、ＶｏＩＰなどの、リアルタイムサポートを必要とするゴールド・サービスを表す。Ｅは、ピア・ツー・ピアなどの、リアルタイムサポートを必要としないシルバー・サービスを表し、Ｆは、インターネット・ナビゲーション（ベスト・エフォート・トラフィック）などの、ＱｏＳ保証を必要としないブロンズ・サービスを表す。
【００４８】
クラウド・ストレージ・サービスは、Ｅサービスとして分類することが可能であるが、この解析の目的では、Ｃと表すものとする。帯域幅マネージャ２４の混乱機能を示すために、Ｏサービスも作成するものとする。Ｏトラフィックは、ユーザによってアップロードされたファイルＸがＳＳＰサーバに既に存在している場合、Ｃトラフィックを置換するために使用し得る。
【００４９】
帯域幅マネージャ２４のスケジューラの機能は、特定のポリシーにより、サービスｓ
【数１】
2012234530.tif 000003
それぞれに帯域幅Ｂを割当て、よって、何れの特定の時間ｔでも、
【数２】
2012234530.tif 000004
であり、ここで、ＢｍａｘはＡＤＳＬ上りリンク２５で利用可能な最大帯域幅である。
【００５０】
図６は、帯域幅マネージャ２４、及び各種サービスを略示する。
【００５１】
悪意のあるユーザを混乱させるために、帯域幅マネージャ２４が以下の基準を割当てポリシーに含めることを提案している。
【００５２】
ＩＸは、ＳＳＰサーバ内のファイルＸの存在を示す２進関数であるとする。ファイルＸがサーバに存在している場合、ＩＸ＝１であり、さもなければＩＸ＝０である。
【００５３】
ＩＢは、Ｄ、Ｅ、及びＦのサービスによって必要なトラフィックの和がＢｍａｘよりも小さいことを示す２進関数である。すなわち、（ＢＤ＋ＢＥ＋ＢＦ）＜Ｂｍａｘの場合、ＩＢ＝１である。さもなければ、ＩＢ＝０である。
【００５４】
帯域幅マネージャ２４は、表１に示すようにＢＯ及びＢＣを割当て、αは、範囲［０；  １］内の実数である。
【００５５】
【表１】
2012234530.tif 000005
ＢＯは、ゲートウェイによって提供される他のサービスによって生成される有用なトラフィックである（スタッフィング・トラフィックでない）ことがあり得、バックアップ・サービスが一例である。ゲートウェイは、家庭内ネットワークの編成における中心的な役割を果たし、ストレージ容量が備えられると、家庭内ネットワークとインターネットとの間のバッファとしてふるまい、データを一時的に記憶し得る。このバッファを空にすることは、終局的な敵対者を混乱させるための帯域幅マネージャ２４のストラテジのうちの１つであり得る。悪意のあるユーザは、サ―ビスＤ、Ｅ、及びＦの帯域要件をゼロに削減し、クラウド・ストレージ・サービスＣにファイルＸのアップロードを開始して、上りリンク２５におけるトラフィック活動をみることが可能である。パラメータαは、ゲートウェイとＤＳＬＡＭとの間の上りリンク２５内の帯域幅節減と、サイド・チャネル攻撃（重複排除）に対するクラウド・ストレージ・システムの耐性との間の種々のレベルのトレードオフをＳＳＰに実現させる。α＝１の場合、上りリンク２５上のトラフィックはＢｍａｘに常に等しく、悪意のあるユーザは、重複排除が行われるか否かを判定することが可能でない。α＝０の場合、悪意のあるユーザは、重複排除が行われるか否かを終局的に判定することが可能であるが、不要なトラフィックは、上りリンク２５上で送出されない。（０＜α＜１）の場合、悪意のあるユーザは、混乱させられるが、重複排除を行うか否かを判定することが可能である。攻撃を首尾良く行うために、敵対者は、時間ｔ＝Ｘｓｉｚｅ／ＢＯ中に上りリンク２５のトラフィック活動を厳密に監視する必要があり、ここで、Ｘｓｉｚｅは、ビット単位でのファイルＸのサイズである。αが低いほど、攻撃を首尾良く行うために必要な時間は大きくなる。敵対者を更に混乱させるために、αの値は、全スケジューリング期間で任意に選ぶことが可能である。
【００５６】
正常な状態下と同様に、上りリンク２５は常に、有用なトラフィックを搬送し、ユーザは、帯域幅の利用可能性に関してペナルティを受けない。
【図１】
2012234530.tif 000006
【図２】
2012234530.tif 000007
【図３】
2012234530.tif 000008
【図４】
2012234530.tif 000009
【図５】
2012234530.tif 000010
【図６】
2012234530.tif 000011
【外国語明細書】
METHOD
FOR UPLOADING A FILE IN AN ON-LINE STORAGE SYSTEM AND CORRESPONDING ON-LINE
STORAGE SYSTEM
TECHNICAL
FIELD 
The
present invention relates to a method for uploading in an on-line storage
system a file from a user client device and a corresponding on-line storage
system. 
BACKGROUND
OF THE INVENTION 
Consumer
cloud storage services are becoming increasingly popular, mainly due to the
protection that they offer against catastrophic risks, such as for example fire
or flood, that the on-site backup solutions cannot. For the sake of
optimization of storage space and upload time, the storage service providers,
called hereinafter SSPs, apply de-duplication techniques to the users' data.
Since de-duplication is most effective when applied across multiple user
accounts, inter-account de-duplication might become the preferred
de-duplication technique among the SSPs. However, inter-account de-duplication
has serious privacy implications. Besides the fact that the on-line-storage
user entrusts the control of his data to the SSP, it has recently been
demonstrated in "Side channels in cloud services de-duplication in cloud
storage," of D. Harnik, B. Pinkas, and A. Shulman-Peleg, IEEE Security fd
Privacy, vol. 8, no. 6, pp. 40-47, Nov. 2010, that inter-account de-duplication
can be used, as a side channel by an adversary (a malicious user of the on-line
storage system), to obtain information about the contents of other users'
files.
Figure
1 presents schematically the architecture of a state of the art on-line storage
system. SSP represents a Storage Service Provider, and Alice and Bob represent
two customers of the on-line storage service. There are two basic approaches to
implement de-duplication in an state of the art on-line storage system. 
In
the server-based approach, the de-duplication is performed at the target
storage service, and the customer is not aware of the eventual use of
de-duplication by the SSP. The client software sends the contents of the file
to the storage server independently of the existence of the file in the storage
server. The server software of the SSP verifies that the file does not exist in
the storage server and only in that case it stores the file in the server; otherwise,
it replaces the file by a pointer to the already existing file. This technique
avoids storage duplication but it does not save upload bandwidth. 
In
the client-based approach, the de-duplication is performed at the source of the
data. Before sending a file, the client software communicates with the storage
server, for example by sending the hash of the contents, in order to check if
the file already exists in the storage server. If it does exist, the server
software replaces the duplicate with a pointer and requests the client not to
send the actual file over the network. This technique avoids storage
duplication and saves upload bandwidth.
The
consequence of implementing inter-account de-duplication using the client-based
approach is that any user of the storage system can observe when de-duplication
takes place and deduce if a file is already present in the storage server.
Notice that this is possible independently if the duplicate file is stored in
the user's account or in another user's account. The user can do this, for
example, by examining the amount of data transferred over the network.
A
malicious user could exploit this characteristic of the client-based
inter-account on-line storage system to perform the following attacks:
1)
"Identifying files" attack : Suppose that Alice, the attacker,
suspects that Bob has stored in the on-line storage system a specific sensitive
file X that is unlikely that any other user have; to verify her conjecture,
Alice can try to save a copy of the file X and checks whether de-duplication
occurs.
2)
"Learning the contents of files" attack: Alice, the attacker, could
apply the Identifying files attack, to multiple versions of the same file in
order to get sensitive information contained in the duplicate file; this attack
supposes that Alice has a standard template of the duplicate file that she can
use to generate a moderate number of versions with small variations of the
template.
It
has been recently proposed a mechanism that reduces, but does not eliminate,
the risk of data leakage in a client-based inter-account on-line storage
system. The proposal is essentially the following:
For
every file X, the storage server assigns a threshold tx, and performs
de-duplication of the file X only if at least tx, copies of the file X have
been uploaded to the on-line storage system. The threshold tx, is chosen
randomly in the integer range [2, d], where d is a parameter that might be
public, for example d = 20. No one but the server is able to compute tx. 
It
has been shown that for all but 1/(d-1) of the files, no information is leaked,
whereas for the remaining files, where the threshold is set to tx=2 or tx=d,
the attacker can find whether a copy of the file has been uploaded to the
storage system. The probability that the attacker determines the existence of a
file X in the storage server is at most 1/(d-1). Such a mechanism is called
randomized de-duplication mechanism.
Regarding
the cost of this solution, the persons who proposed this mechanism claim that,
if popular files have many more than d copies, the expected cost is small
compared to the benefit of using de-duplication. A larger value of d results in
a higher cost, but it also provides better security.
The
eventual success of the previously cited attacks is possible only if an on-line
storage service applies inter-account de-duplication and uses the client-based
approach for the de-duplication. The attacks are not effective if a
server-based approach is used, but in that case, the bandwidth optimization
benefit of de-duplication is lost because the files are always uploaded to the
storage server and the de-duplication process is executed at the server side.
Nevertheless, the use of the server-based de-duplication technique prevents the
customers from identifying the occurrence of de-duplication.
Even
if the risk of data leakage is reduced with the randomized de-duplication
mechanism, it is not reduced to zero. Moreover, the randomized de-duplication
mechanism consumes additional bandwidth compared to the client-based de-duplication.
The risk of data leakage in these approaches, the client-based approach as well
as the randomized server-based approach, comes from the fact that the client
has a direct link to the storage server. In other words, the side channel and
oracle attacks are feasible whenever the client has direct access to the
content upload process.
SUMMARY
OF THE INVENTION 
The
problems outlined above are in large part solved by the method of the
invention. A purpose of the invention is to propose a method for storing a file
in an on-line storage system that allows the SSP to apply inter-account
de-duplication and, at the same time, that substantially reduces the risk of
information leakage for all the files stored in the system. 
According
to the invention, it is proposed a gateway-based approach for de-duplication
that can not be used as a side channel by an attacker, as it is the case of the
client-based approach.
An
object of the present invention is a method for uploading in an on-line storage
system a file from a user client device according to claim 1.
Another
object of the present invention is a gateway according to claim 7.
BRIEF
DESCRIPTION OF THE DRAWINGS 
Other
objects and advantages of the invention will become apparent upon reading the
following detailed description and upon reference to the accompanying drawings
in which:
-
Figure 1, already described, illustrates the architecture of an state of the
art on-line storage system;
-
Figure 2 illustrates the architecture of an on-line storage system according to
the invention;
-
Figure 3 is diagram showing the steps of the method according to the invention;
-
Figure 4 illustrates a first software architecture of the system of figure 2;
-
Figure 5 illustrates a second software architecture of the system of figure 2;
and
-
Figure 6 illustrates the function of a bandwidth manager of the system of
Figure 5.
DETAILED
DESCRIPTION 
While
the invention is susceptible to various modifications and alternative forms.
Specific embodiments thereof are shown by way of example in the drawings and
will herein be described in detail. It should be understood, however, that the
drawings and detailed description thereto are not intended to limit the
invention to the particular form disclosed. But on the contrary, the intention
is to cover all modifications, equivalents and alternatives falling within the
spirit and scope of the present invention as defined by the appended claims.
According
to the invention, it is proposed to displace a part of the on-line storage
software from the storage server to a residential gateway, as shown in figure
2, so that the storage server provider can render the de-duplication
transparent to the user. In doing so, the SSP prevents malicious users to use
de-duplication as a side channel to get information from other users' accounts.
This process allows the Storage Service Provider (SSP) to apply intra-account
as well as inter-account de-duplication and substantially reduces the risk that
a malicious user obtains information from other users' accounts.
Figure
2 illustrates the architecture of the on-line storage system proposed by the
invention. The on-line storage system comprises a storage server 10 coupled to
a target storage device 11 and gateways 20. Each gateway is equipped with a
gateway storage device 21. User client devices 30 are connected to the storage
server of the SSP through the gateways 20. The target storage device 11 is
deemed to store files coming from the user client devices 30. In this figure, Alice, Bob,
Dave, and Eve represent customers of the on-line storage service. The link
between the user client device 30 and and the gateway 20 can be for example a
residential network, a local area network (LAN) or a wireless local area
network.
The
bandwidth available at each one of the communication segments of the system is
given only for illustration purposes: 100 Mbps is the bandwidth commonly
available at a residential network (Ethernet); 20 Mbps and 1 Mbps are
respectively the down-link 26 and up-link 25 bandwidths, frequent in the xDSL
Internet access.
In
this embodiment, the user client devices access the on-line storage system from
a residential network and the gateways provided by the Internet Service
Provider (ISP) are equipped with a gateway storage device capable to store a moderate
volume of data, for example 500 MBytes.
The
method that takes place when a user client device 30 wishes to upload a file X
to the target storage device 11 is illustrated by figure 3. It comprises the
following steps:
-
Step S1: the user client device 30 uploads the file X to the gateway 20; the
gateway always accepts the file X from the user client device;
-
Step S2: the gateway 20 stores the uploaded file in the gateway storage device
21;
-
Step S3: the gateway 20 checks with the storage server 10 that the uploaded
file is present or not in the target storage device 11;
-
Step S4: if said file is not present in the target storage device 11, the
gateway 20 uploads the file to the target storage device, and if said file is
present in the target storage device, the gateway creates a link to the file
stored in the target storage device. This
means that this action triggers the storing of a relation between the file and
the user by the storage server.
The
de-duplication method is known from the skilled man. For example, the gateway
computes a hash value of the file and sends it to the storage server. The
server checks the availability of the file in the storage device and replies.
There are many methods to compute this hash value, for example SHA256, or MD5.
Of course, it’s a non-limiting example. The hash value may be replaced by a
fingerprint.
Figure
4 presents the software architecture of the on-line storage system using the
gateway-based approach for de-duplication according to the invention.
The
software of the system is composed of four modules running on different devices
placed at different locations: the SSP storage server is located at the SSP
premises, the gateway server 22 and client run on the ISP gateway that is
located at the customer premises, and the user client runs on the user's device
(e.g., PC, still-image camera, phone, etc.).
The
process that takes place when the user wants to upload a file X to the on-line
storage system is performed in two phases: during the first phase, the user
client uploads the file X to the gateway server 22; and during the second
phase, the gateway client 23 uploads the file X to the SSP server (storage
server).
The
gateway server 22 always accepts the file X coming from the user client so that
the user can not determine that the SSP has implemented de-duplication. The
gateway server 22 stores the file in the gateway storage device 21 and handles
the upload task to the gateway client 23. It is the gateway client 23 that
carries out the de-duplication, i.e., it contacts the SSP server to verify that
the file X is not present in the target storage device and only if X is not
present, it uploads the file X to the SSP server. Otherwise, the gateway
contacts the SSP server and requests to create a link to the file stored in the
storage device. The SSP server in the account of the user client adds a link
with the original file.
To
create the link, many methods are available. For example, the server stores in
a table, a pointer of the file, an hash or fingerprint of this file and a list
of the users. An identifier of each user who has uploaded this file on the
storage server is added in this list. An other possibility is to store a table
for each user with the list of files which he has uploaded. The list of files
could be a list of hash value. A database or any other technical method known
by the skilled man can be used also to do this management.
In
the present invention, the bandwidth savings are mainly on the communications
segment from the gateway to the SSP server while there are no bandwidth savings
on the segment from the user's device to the gateway. On the communications
segment from the gateway to the DSLAM some bandwidth could be wasted. Under
normal conditions, i.e. when the user simultaneously runs the cloud storage
service and at least one of the other services provided by the gateway the
bandwidth available at the up-link 25 can be fully exploited. However, if the
user (malicious or not) uses the cloud storage service only, and shuts down all
the other available services, the up-link 25 might be stuffed with some random
encrypted traffic in order to hide the eventual de-duplication of a file X and
to obfuscate a potential adversary.
In
any case, the user is not penalized with regard to a cloud storage system where
the server-based de-duplication is used. In addition, saving bandwidth at the
level of the residential network is not as critical as saving bandwidth at the
WAN level: first, because the available bandwidth at home (100 Mbps) is much
higher than the bandwidth of the up-link 25 (1 Mbps); and second, because the
number of hops between the DSLAM and the SSP server is higher than the single
hop between the gateway and the DSLAM. Several reports on Internet metrics show
that the average number of hops between a host and a server is around 15. WAN's
terminology is known by the skilled man as wide area network. WAN can also be
understood here as a MAN (Metropolitan area network) or a xDSL (Digital
Subscriber Line). The xDSL line is an ADSL line in the preferred embodiment
described later on.
The
SSP must implement the required security and access control mechanisms on the
gateway in order to preserve the integrity of the whole on-line storage
service. Therefore, the user shall not be able to observe the network activity
on the ADSL link and, consequently, he shall not be able to determine whether
de-duplication takes place or not. In other words, a malicious user shall not
be able to perform successfully any of the previously cited attacks.
This
requirement related to the security and access control mechanisms on the
gateway is not difficult to satisfy. Indeed, if the Internet Service Provider
provides its customers with a package of Internet access and on-line storage
services together, the requirement is quite simple to satisfy because the SSP
and the ISP are the same institution. If this is not the case, the SSP should
obtain an agreement with the ISP so that the ISP implements the security and
access control mechanism to the on-line storage service on the gateway.
The
on-line storage system according to the invention is thus a system that lets
the SSP to apply inter-account de-duplication to save storage space as well as
upload bandwidth, but that at the same time, substantially reduces the risk
that a malicious user employs de-duplication as a side channel to attack the
system and obtain information from other users' data.
The
system is based on the gateway that is commonplace in residential networks for
Internet access. The gateway is the host for a server and a client that takes
care of the upload and download requests from the user.
It is
the gateway client 23 that is in charge of performing the inter-account
de-duplication, by communicating with the SSP server before carrying out the
actual upload of the data to the SSP server. Since the gateway server 22 does
not perform de-duplication and always accepts the data from the user client,
the user can not observe whether de-duplication takes place or not.
Although
the present solution is based on the gateway of a residential network, the
invention can be applied to other Internet access networks. The idea of the
invention is that the user must not be able to determine that the SSP applies
inter-account de-duplication. Therefore, the SSP must insert in the communications
path between the user client and the SSP server a server-client pair so that
the user client does not communicate directly with the SSP server but rather
with this new server that does not implement de-duplication. It is the client
of the inserted server-client pair that is in charge of the de-duplication
task. In other words, the user communicates with the on-line SSP server through
a secured proxy that hides de-duplication to the user.
In a
preferred embodiment, a bandwidth manager 24 is added in the gateway of the
system as illustrated by figure 5. The role of the gateway bandwidth manager 24
is to obfuscate an eventual adversary. Indeed, a malicious user could use a
bandwidth test tool to monitor the bandwidth availability of the up-link 25 and
to deduce whether the de-duplication takes place or not. So this bandwidth
manager 24 helps to improve the resistance of the system to attacks that use
de-duplication as a side-channel.
The
bandwidth manager 24 may apply several strategies to achieve obfuscation.
Details of the scheduler of this bandwidth manager 24 are given hereinafter to
illustrate his role.
Let
D, E, F be three different types of service each with different QoS (Quality Of
Service) requirements. D represents a gold service that requires real time
support such as VoIP. E represents a silver service that does not require real
time support such as the peer to peer traffic, and F represents a bronze
service that requires no QoS guarantee such as Internet navigation (best effort
traffic).
The
cloud storage service can be classified as an E service but for the purpose of
this analysis, let us denote it C. In order to show the obfuscation function of
the bandwidth manager 24, let us also create an O service. The O traffic may be
used to replace the C traffic when the file X uploaded by the user is already
present in the SSP server.
The
function of the scheduler of the bandwidth manager 24 is to allocate a
bandwidth Bs to each one of the services s 
（Math 1）
2012234530.tif 000012
,
according to a given policy, so that at any given time t:
（Math 2）
2012234530.tif 000013
,
where Bmax is the maximum bandwidth available at the ADSL up-link 25. 
Figure
6 presents schematically the bandwidth manager 24 and the different types of
service.
In
order to obfuscate a malicious user, it is proposed that the bandwidth manager
24 includes the following criteria into the allocation policy.
Let
IX be a binary function indicating the presence of the file X in the SSP
server: if the file X is present in the server then IX = 1, otherwise IX = 0).
Let
IB be a binary function indicating that the sum of the traffic required by the D,
E, and F services is smaller than Bmax: if (BD +BE +BF) < Bmax, then IB = 1,
otherwise IB = 0.
The
bandwidth manager 24 allocates BO and BC as is shown in Table 1, α is a real
number in the range [0; 1].
（Table 1）
2012234530.tif 000014
BO
may be useful traffic (not stuffing traffic) generated by other services
offered by the gateway, the backup service is an example. The gateway plays a
central role in the organization of the home network and when equipped with
storage capacity it may temporarily store data, acting as a buffer between the
home network and the Internet. Emptying this buffer may be one of the bandwidth
manager 24 strategies to obfuscate an eventual adversary. A malicious user
could reduce to zero the bandwidth requirements of the services D, E, and F and
to initiate an upload of the file X to the cloud storage service C in order to
observe the traffic activity in the up-link 25. The parameter α lets the SSP to
implement different levels of trade-off between the resistance of the cloud
storage system to side-channel attacks (de-duplication) and the bandwidth
savings in the up-link 25 between the gateway and the DSLAM. If α = 1, the
traffic on the up-link 25 is always equal to Bmax and the malicious user can
not determine whether the de-duplication takes place or not but useless traffic
could be sent on the up-link 25. If α = 0, the malicious user could eventually
determine whether the de-duplication takes place or not but no useless traffic
is sent on the up-link 25. If (0 < α < 1), the malicious user will be
obfuscated but he could determine whether the de-duplication takes place or
not. In order to carry out a successful attack, the adversary needs to monitor
precisely the traffic activity of the up-link 25 during a time t = Xsize/BO,
where Xsize is the size of the file X in bits. The lower the α the larger the
time required to achieve a successful attack. In order to further obfuscate the
adversary, the value of α could be chosen randomly at every scheduling period.
As
under normal conditions the up-link 25 always carries useful traffic, the user
is not penalized concerning bandwidth availability.
1.
Method for uploading in an on-line storage system a file from a user client
device (30) through a gateway (20), said gateway (20) being connected to the
client device (30) through a local area network and to the on-line storage
system through a wide area network (25,26) 
said
on-line storage system comprising a storage server (10) coupled to a target
storage device (11) in which the file is to be stored, characterized in that it
comprises the following steps:
- the
gateway (20) receives from the user client device (30) an uploaded file.
- the
gateway (20) stores the uploaded file in a gateway storage device (21);
- the
gateway (20) checks with the storage server (10) the presence of the uploaded
file in the target storage device (11);
- if
said file is not present in the target storage device, the gateway (20) uploads
the file to the target storage device, and if said file is present in the
target storage device, the gateway (20) creates a link to the file stored in
the target storage device.
2.
Method according to claim 1 characterized in that if said file is present in
the target storage device, the gateway (20) applies a step of obfuscation of
traffic on said wide area network (25).
3.
Method according to claim 2 characterized in that, to obfuscate the said
traffic, the gateway (20) maintains the said traffic on said wide area network.
4.
Method according to claim 3 characterized in that, to maintain the traffic, the
gateway sends stuffing data on the said wide area network.
5.
Method according to any of the preceding claims characterized in that said
local area network is chosen among: 
A
residential network,
A
wireless local area network.
6.
Method according to any of the preceding claims characterized in that said wide
area network is chosen among 
A
digital subscriber line,
A
metropolitan area network,
7.
Gateway connected to a user client device through a first network and to a
storage server through a second communication network characterized in that
said gateway located at the customer premises, comprises 
a
gateway storage device (21) for storing files uploaded from user client
devices,
said
gateway being able to check with the storage server if a file stored in the
gateway storage device is already present in the target storage device and to
upload said file in the target storage device only if it is not already present
in the target storage device.
8.
Gateway according to claim 7, characterized in that the gateway communicates
with the storage server through a secured communication link.
9.
Gateway according to claims 7 or 8, characterized in that the gateway comprises
a bandwidth manager to manage the traffic between the gateway and the storage
server such that to maintain traffic even if the file is not uploaded from the
gateway to the server storage.
10.
Gateway according to claim 9 characterized in that the said bandwidth manager
sends stuffing data to the said storage server to maintain the said traffic if
the said file is not uploaded.
11.
Gateway according to any of claims 7 to 10, characterized in that said gateway
is included in a box of an internet service provider.
12.
Gateway according to any of claims 7-11, characterized in that said first
network (26) between said gateway and said user client device is chosen among:
A
residential network,
A
local area network,
A
wireless local area network. 
13.
Gateway according to any of claims 7-12, characterized in that said second
network (25) between said gateway and said storage server is chosen among :
A
digital subscriber line,
A
metropolitan area network,
A
wide area network.
1.   Abstract
The
present invention relates to a method for uploading in an on-line storage
system a file from a user client device through a gateway connected to the
client device through a local area network and to the on-line storage system
through a wide area network.
The
on-line storage system comprises a storage server (10) coupled to a target
storage device (11) in which the file is to be stored. The method comprises the
following steps:
- the
gateway receives from the user client device (30) an uploaded file.
- the
gateway stores the uploaded file in a gateway storage device;
- the
gateway checks with the storage server the presence of the uploaded file in the
target storage device;
- if
said file is not present in the target storage device, the gateway uploads the
file to the target storage device, and if said file is present in the target
storage device, the gateway creates a link to the file stored in the target
storage device.
2.   Representative
drawing
Fig 2
【図１】
2012234530.tif 000015
【図２】
2012234530.tif 000016
【図３】
2012234530.tif 000017
【図４】
2012234530.tif 000018
【図５】
2012234530.tif 000019
【図６】
2012234530.tif 000020