基于访问模式有效认证多个对象的系统和方法.pdf

提供了用于基于访问模式有效认证多个对象并聚类对象的技术。例如，在本发明的说明性方面中，一种用于生成和/或读取认证信息的技术包括使用指示是否在相似时间段内访问了多个对象中至少两个的一个或多个对象访问模式来将对象分组在一起，以减小用于生成和读取认证信息这两者中至少一个的开销，其中所述认证信息证明了所述多个对象是由一实体生成和发送的这两者中的一个。

1.  一种用于生成和读取认证信息这两者中的一个的方法，其中所述认证信息证明了多个对象是由一实体生成和发送的这两者之一，该方法包括以下步骤：
使用指示是否在相似时间段内访问了所述多个对象中至少两个的一个或多个对象访问模式来将对象分组在一起，以降低用于生成和读取所述认证信息这两者中至少一个的开销。

2.  权利要求1的方法，还包括确定一个或多个对象访问模式的步骤。

3.  权利要求1的方法，其中所述使用对象访问模式的步骤还包括被访问的对象是被读的对象和被更新的对象这两者中的一个。

4.  权利要求1的方法，其中所述使用对象访问模式的步骤还包括使用至少一个图将对象分组在一起的步骤。

5.  权利要求4的方法，其中所述使用至少一个图的步骤还包括使用至少一个Merkle散列树。

6.  权利要求4的方法，其中所述将对象分组的步骤还包括如果两个对象具有相似的访问模式则将它们放置在同一图中。

7.  权利要求1的方法，还包括维护可能彼此时间接近地被更新的对象的集合的步骤。

8.  权利要求7的方法，其中所述维护步骤还包括使用对象依赖图、对生成多个对象的代码的分析、和对多个对象的变化模式的在线分析中的至少一个来确定所述对象集合。

9.  权利要求1的方法，还包括维护可能彼此时间接近地被读的对象的集合的步骤。

10.  权利要求9的方法，其中所述维护步骤还包括使用对读多个对象的代码的分析和对多个对象的读模式的分析中的至少一个来确定所述对象集合。

11.  权利要求1的方法，还包括使用具有超过一阈值的权重的写集合来将对象划分为认证组的步骤。

12.  权利要求1的方法，还包括基于读集合来划分对象的步骤。

13.  权利要求1的方法，其中，将对象放置在认证组中，并且可以调整认证组的大小以折衷权衡中央处理器单元开销和签名大小。

14.  权利要求1的方法，还包括将对象分配到多个认证组以便减小客户开销的步骤。

15.  权利要求1的方法，还包括如果对象无变化则使用该对象的签名的旧版本的步骤。

16.  权利要求1的方法，还包括探索对象读顺序以减小跨网络传输的认证信息的大小的步骤。

17.  权利要求1的方法，还包括客户缓存先前读取的对象的签名以减小用于未来认证的开销的步骤。

18.  权利要求17的方法，还包括客户基于存储器大小、写频率、和网络带宽成本中的一个调整缓存的签名的数量的步骤。

19.  权利要求1的方法，还包括中间层使用客户标识信息跟踪客户已缓存哪些签名的步骤。

20.  权利要求19的方法，其中所述标识信息包括网际协议地址和cookie中的一个。

21.  权利要求1的方法，还包括客户在对于新的对象的请求中通知中间层该客户已缓存的签名的步骤。

22.  一种用于生成和读取认证信息这两者中的一个的装置，其中所述认证信息证明了多个对象是由一实体生成和发送的这两者中的一个，该装置包括：
存储器；以及
与所述存储器连接的至少一个处理器，该处理器可操作以使用指示是否在相似时间段内访问了所述多个对象中至少两个对象的一个或多个对象访问模式来将对象分组在一起，以降低用于生成和读取所述认证信息这两者中至少一个的开销。

23.  一种用于生成和读取认证信息这两者中的一个的制造物品，其中所述认证信息证明了多个对象是由一实体生成或发送的这两者中的一个，该制造物品包括包含了一个或多个程序的机器可读媒体，所述程序当被执行时执行以下步骤：
使用指示是否在相似时间段内访问了多个对象中至少两个的一个或多个对象访问模式来将对象分组在一起，以减小用于生成和读取所述认证信息这两者中至少一个的开销。

24.  一种用于提供内容交付服务的方法，包括以下步骤：
服务提供者向消费者提供服务，该服务使用指示是否在相似时间段内访问了多个对象中至少两个的一个或多个对象访问模式来将对象分组在一起，以减小用于生成和读取认证信息这两者中至少一个的开销，其中所述的认证信息证明了与所述内容相关的多个对象是由一实体生成和发送的这两者中的一个。

基于访问模式有效认证多个对象的系统和方法
技术领域
本发明一般涉及内容分发技术，并尤其涉及用于根据访问模式有效地认证多个对象的技术。
背景技术
内容分发系统包括消费数据的内容消费者和将数据发布给内容消费者的内容发布者。在诸如因特网或万维网(WWW或“web”)的环境中，内容发布者通常是web服务器。内容消费者是访问web服务器的内容的web客户。
内容分发系统的三个特性是值得注意的。
第一，通常有大量内容消费者与一个内容提供者相对应。此外，许多内容消费者具有有限的计算能力。例如，web客户可以是手提式设备。因此，希望减小与检索内容提供者提供的内容相关联的开销。
第二，内容消费者通常选择性地检索内容提供者提供的对象而不是检索所有对象。
第三，内容消费者经常通过第三方检索内容。第三方应该具有服务于大量内容消费者的能力。在从内容提供者接收到内容之后，第三方可通过其缓存服务于内容消费者的请求，并从而从内容提供者卸下负荷。例如，消费者可通过web缓存检索web服务器的内容。这种情况尤其常见于对等和网格计算环境中。因此，第三方需要有某种能力以使内容消费者确信所获取的内容确实是由内容提供者产生的。
内容分发系统可使用安全套接字层(SSL)协议。SSL是安全的基于web的传输协议，其允许认证两方之间的通信。作为示例，在A.Freier等人的“The SSL Protocol Version 3.0”中详细说明了SSL协议。这两方中的每一个均具有一公钥。在通信开始时，双方用它们的公钥生成一共享密钥。然后，使用该共享密钥对称地加密随后的通信以减小认证的开销。用SSL认证需要通信的两端都是可信且安全的。因此，SSL不能允许认证经过非可信的或不安全的基础结构或中间层。
内容分发系统还可使用用于认证包的流的技术，例如在C.K.Wong等人的“Digital Signatures for Flows and Multicasts”，IEEE/ACMTransactions on Networking，pp.502-513，August 1999中公开的技术。通过链接后面的包与前面的包，初始包的公钥签名的开销被分摊在许多随后的包上。提出了各种链接结构以便即使存在包丢失时仍可通过链接到达后面的包。在包流中，按固定的顺序生成和消费包，并且每个包都不能修改。但是在内容分发中，可按任何顺序访问对象，并且可按任何顺序修改对象。
因此，需要一种可以克服与现有的内容分发系统相关联的上述和其他限制的技术。
发明内容
本发明提供了用于有效地认证多个对象并根据访问模式将对象聚类的技术。
例如，在本发明的第一说明性方面中，一种用于生成和/或读取认证信息的方法包括使用一个或多个指示是否在相似的时间段内访问了多个对象中至少两个的对象访问模式来将对象分组在一起，以减小用于生成和读取该认证信息这两者中至少一个的开销，其中所述认证信息证明了多个对象是由一实体生成和发送的这两者之一。
在本发明的第二说明性方面内，一种用于根据访问模式将多个对象聚类的技术包括以下步骤/操作。创建第一组集合，其中至少一个集合包括相互时间接近地读的多个对象。创建第二组集合，其中至少一个集合包括相互时间接近地写的多个对象。创建第三组集合，其中至少一个集合s1是通过识别第一组的同一集合内的至少两个对象o1和o2来构建的。将所述第二组的包含对象o1的集合内包含的至少一个对象添加到集合s1内。将所述第二组的包含对象o2的集合内包含的至少一个对象添加到集合s1内。
有利的是，本发明提供了使用可用于减小认证多个对象的成本的对象访问模式的技术。对象访问模式可包括写模式和读模式。写模式可说明哪些对象集合经常被一起写。读模式可说明哪些对象集合经常被相似客户读，并且可包括这些读的顺序。写模式可通过写集合跟踪，而读模式可通过读集合和/或读顺序图跟踪。本发明的技术可使用这些数据结构中捕获的对象访问模式来减小为多个对象生成签名的成本。
此外，在一个实施例中，可将经常被读和写的对象分组到一认证树中，以减小签名的大小而无需增大处理开销。此外，可根据这些对象的访问顺序将对象放置在认证树中，以进一步减小签名的大小。该认证方法在发布者通过可能不是可信的或不够安全地中间层分发其内容的环境中尤其有用。这样的环境的示例是web门户、缓存、对等系统和基于网格的系统。
用于将对象聚类的本发明的机制除了用于认证之外还可用于其他目的。例如，它们可用于减小在盘上存储对象的开销。
从下面结合附图对本发明的说明性实施例的详细说明中，可清楚地了解本发明的这些和其他目标、特征和优点。
附图说明
图1示出其中可使用本发明的技术的内容分发系统结构的一个示例；
图2示出根据本发明的实施例的对象访问模式；
图3示出根据本发明的实施例的用于生成认证树的方法；
图4示出根据本发明的实施例的提取对象访问模式的各种说明性机制；
图5示出根据本发明的实施例的写集合；
图6示出根据本发明的实施例的用于生成写集合的方法。
图7示出根据本发明的实施例将对象划分为认证组的过程；
图8示出根据本发明的实施例将对象划分为认证组的过程的示例；
图9示出根据本发明的实施例的读顺序图；
图10示出根据本发明的实施例的认证树；
图11示出根据本发明的实施例根据访问顺序将对象放置在认证树中；以及
图12示出在其中可根据本发明的实施例实现内容分发系统的一个或多个组件/步骤的计算系统的说明性硬件实现。
具体实施方式
下面将在对于内容分发系统中的内容认证的说明性因特网或web实现的情境中说明本发明。但是，应理解，本发明并不局限于内容分发系统中的认证。而是，本发明更一般地适用于其中希望将数据聚类以提高系统性能的任何环境。仅作为一个示例，本发明的技术还可用于盘存储系统以按访问局部性来将数据聚类。
此外，要分发的内容在本文中一般地被称为“对象”。“对象”可采取很多种形式，并且应理解本发明并不局限于任何特定形式。例如，对象可以是电子文档例如一个或多个网页。本技术领域内的技术人员可按多种不同电子文档格式使用本发明，这些文档格式包括但不局限于HTML(超文本标记语言)文档、XML(可扩展标记语言)文档、其他格式的文本文档、和二进制文档。另外，短语“电子文档”还可理解为包括文本数据、二进制数据、一个或多个字节流等中的一个或多个。因此，本发明并不局限于任何特定类型的数据对象。此外，应理解，短语“访问”可包括读或更新操作。此外，还应理解，术语“开销”可包括但不局限于计算机CPU(中央处理单元)周期、网络带宽消耗、盘、I/O(输入/输出)等。
根据现有的基于web的技术，内容发布者可通过非可信的或不安全的中间层发布内容。为了证明内容的真实性，内容提供者可向中间层提供一认证内容的签名以及内容。客户可检索该内容以及签名，并使用该签名来检查内容是否是由内容发布者生成的。内容发布者通常发布许多对象。客户通常读取这些对象的子集。
因此，更具体地，内容提供者C可具有与其相关联的公钥Pk。内容提供者通过此公钥来认证内容，并将内容和签名一起传给第三方。该第三方仅负责将内容以及相关的签名分发给内容消费者。一旦内容消费者检索到来自第三方的内容和签名，消费者就可验证该签名是否确实是内容发布者针对该内容生成的。
用于认证多个对象的技术是使用认证树。通过认证树，仅使用一个公钥签名和散列法就可认证一组对象。计算散列通常比计算公钥签名便宜得多。结果，一个公钥签名的成本被分摊在认证中的所有对象上。认证树通常是二叉树。其叶子是将被认证的单个对象的散列。中间节点是其两个子节点的散列。签名的大小由认证树内对象的数量确定。
如将在本文中详细说明的，本发明的两个主要方面是：使用对象访问模式来将对象分为认证组，并使用可能的对象访问顺序将对象放置在认证组中。
第一个方面是根据对象访问模式将对象分为认证组。根据本发明，经常一起更新和读的对象可被分组在一起。可使用某种组认证技术例如认证树来认证一组。减小认证组的大小可减小每个对象的签名的大小，这继而减小了网络带宽、存储、和处理开销。将经常一起更新的对象分组在一起减小了需要由内容发布者生成且要被客户验证的公钥签名的数量。
将一组被一起更新的对象称为“写集合”。当写集合内的对象被更新时，将认证组重新认证一次，而不是认证与写集合内的对象的数量同样多的次数。将经常被一起读的对象分组在一起可减小认证组的大小，并从而减小签名的大小，而同时保留了大的树所提供的公钥操作减小的好处。此方法的一目标是将可能被相同客户读的对象放置在一个或少量认证树内。如果没有更新，则客户仅需要验证一个或少量公钥签名来验证所有对象。
当考虑到更新时好处会更大。当在认证树内更新一对象时，通常需要用昂贵的公钥签名来重新认证树的根。减小客户访问的认证树的大小可减小客户被迫重新认证该树的根的机会。
本发明的第二方面是在组认证技术例如认证树中使用可能的对象读顺序来确定对象的放置。一个目标是以这样的方式放置认证树的对象，即相邻读中的对象尽可能多地共享一签名。对象的签名包括沿从该对象到树的根的路径的节点的兄弟节点的散列。因此，使从对象到根的路径的共同部分最大可使两个对象共享的签名部分最大。客户可为了随后的读缓存和重新使用签名的共享部分，以减小用于传递签名的网络带宽消耗。
应理解，本发明的分组或聚类方法除了适用于认证外还适用于其他领域。例如，它们可用于在盘上将对象聚类以提高性能。
图1示出本发明的技术可用于其中的内容分发系统结构的示例。如图所示，内容分发系统100包括内容发布者102和一些内容消费者104。本文中内容消费者可称为客户。内容发布者的责任是生成内容。中间层106将内容直接分发给客户。作为示例，中间层可以是门户、缓存、对等系统、网格系统等。通常引入中间层以提高性能，增大可伸缩性，和/或添加功能。
发布者102和中间层106可位于相同物理机器上的不同软件模块内，或位于不同机器上。可提供硬件和软件保护以确保安全性被破坏的中间层不会自动危及发布者的安全性。
本发明的技术可允许可信的发布者102在非可信或不安全的中间层上发布内容。存在若干原因使中间层会比发布者较不可信或安全。首先，中间层106会负责将内容传送给大量客户，并因此必须被设计成具有高性能和可伸缩性，这会使该中间层非常复杂并且容易存在安全弱点。此外，性能需求经常迫使在此层内使用最新的技术，这样会使该层的稳定性较差。其次，中间层与发布者可能不处于相同管理域内，因此它们的安全标准可能不同。例子包括可能未被安全地管理并且可能被给予安全补丁的对等或网格环境中的web缓存和代理，或重新分发内容的web门户。
根据本发明，发布者通过将签名附加在其内容上来认证其内容，并将它们发送到中间层。这在图1中被示为108，其中O_n(n＝1，2，3，…)是指对象，而Sig(O_n)指附加的签名。当客户从中间层检索到对象时，它也检索到签名并可验证该对象的真实性。
发布者具有公钥和私钥对。公钥也为客户所知，并且客户使用公钥来检查内容的真实性。一种简单幼稚的方法是发布者使用其私钥对每个对象签名，而客户使用公钥来检查真实性。但是公钥操作对于发布者和客户都可能过于昂贵。根据本发明，提供了利用对象访问模式110来减小认证多个对象的成本的方法。
根据本发明，可使用两种技术来减小认证多个对象的成本：使用对象访问模式来将对象分为认证组，并且使用可能的对象访问顺序来将对象放置在每个认证组内。
第一种技术是将对象分为认证组。经常被一起访问的对象被分组在一起。被一起更新的一组对象被称为写集合。在本发明中，写集合内的对象可位于一认证组中。当更新写集合时，将认证组重新认证一次，而不是认证与写集合内的对象的数量相同的次数。在一些例子中，每个写集合是一认证组。在另外的例子中，一些写集合被进一步分组为一些认证组。其对象经常被一起读的一些写集合被分组为一认证组。一个目标是减小包含一个客户访问的对象所需的认证组的预期数量。
第二种技术是使用可能的对象访问顺序来将对象放置在认证组中。组签名技术的一个示例是认证树。考虑一个示例，其中对象B很可能在对象A之后立即被访问。假设P1是从A到根的路径，而P2是从B到根的路径。假设P3是P1和P2共享的路径部分。A的签名包括P1的兄弟节点，而B的签名包括P2的兄弟节点。这两个签名共享P3的兄弟节点。客户可缓存并重新使用P3的兄弟节点，并且只需要重新传送不在P3内的部分以便认证B。使在短时间间隔内可能被访问的两个对象之间的共享路径最大减小了网络流量。
此外，发明提供了一种利用对象访问模式来减小公钥操作的数量以及签名的大小这两者的方法。所考虑的对象访问模式的方面包括读聚类、写聚类和读顺序。根据读聚类和写聚类，将对象分成如下不同的认证树：I)可能被一起写的对象被分组到同一认证树中；II)可能被一起读的对象也被分组到同一认证树中。
放置倾向于被一起写的对象减小了在写期间发布者和客户的公钥基础设施(PKI)操作的数量。对于一组写，发布者仅需要认证该认证树的根一次。客户也仅需要检查根的签名的一个新版本。本发明还通过利用这些对象的读顺序来减小签名大小。其基本思想是缓存和重新使用先前读的对象的签名的部分。
图2示出了根据本发明的一实施例的对象访问模式。更具体地，尽管图2示出了为有效认证而提供的对象访问模式200的许多方面，但是可提供其他未明确示出的方面。这些方面中的一些可包括对象读聚类(202)、对象写聚类(204)、对象读顺序(206)、读频率、写频率和与读频率相关的写频率(208)、系统内的客户的数量、系统内的对象的数量(210)、读每个对象的客户的数量、与读频率和写频率相关的对象普及性、系统的一致性要求、系统是在处理读操作还是写操作(212)等。
图3示出根据本发明的一实施例的用于生成认证树的方法。更具体地，图3示出web服务器(内容分发系统的一部分)生成认证树可能采取的步骤。服务器首先捕获对象访问模式(步骤302)。此信息将指导步骤304和306。下面在图4的情境中说明了用于捕获这种模式的一些说明性机制。在捕获到对象访问模式之后，服务器使用该对象访问模式来将对象分为多个认证组(步骤304)。每个组可使用一认证树来认证，尽管还可使用其他利用对象访问聚类的认证方法。也将对象访问模式的另一个方面即访问顺序馈送到系统中，以指导对象在认证树内的放置(步骤306)。好的放置使得最大数量的先前对象的签名可重新用于认证当前读的对象。于是，生成一个或多个认证树(步骤308)。
图4示出根据本发明的实施例的提取对象访问模式的各种说明性机制。这些机制可分为两类：使用系统内部机制(内部组件)402，以及使用在线分析404。系统内部组件402包括依赖跟踪机制406例如对象依赖图408、对应用的代码的静态分析410等。在在线分析404中，系统分析哪些对象由什么客户写和读，以及这些读和写发生的时间。
获得写聚类的一个例子是使用写集合。图5示出写集合W1、W2、W3、W4、W5和W6的示例。写集合可具有两个成分：其元素以及其权重。写集合的成员是该写集合中包含的对象，即经常一起写的对象的集合。写集合的权重是指示对象被一起写的可能性的数。可通过按比例调整所有权重来归一化权重。
例如，W1的元素是A、C，其权重为3，这指示A和C经常被一起写，但是不如权重更大的写集合例如W2频繁。
生成写集合的一种方式是从对象依赖图或ODG(图4的408)中推导出它们。一种方法是将ODG的一相连组件内的对象放置在一写集合中。另一种方法是将可从最高节点到达的叶对象放置在一写集合中。
另一种生成写集合的方式是在线分析对象读和/或写模式(图4的404)。一种方法是将一起在T单位时间内发生的写分成一组。图6中示出了这样的过程600。最初，写集合以被更新的第一对象开始(步骤602)。当第二对象O被更新时，过程判定O的更新是否在第一次写的T单位时间内(步骤604)。如果是这样，则将O添加到写集合内(步骤606)，且过程继续进行。否则，该过程以写集合W结束(步骤608)。然后，过程判定写集合W是否以前已存在(步骤610)。如果是，则权重W增加1(步骤612)。否则，生成新的写集合(步骤614)。
一个客户的读可被分组为一个读集合。在一些情况下，与用于写集合的方法类似地，进一步要求一个读组内的读在T单位时间内是有用的。在此情况下，生成读集合的过程与生成写集合的过程类似。使用阈值T来生成读集合可帮助减小客户在一段时间上的平均负荷。
一旦生成写集合和读集合，下一步是将对象分为认证组。如图7内所示，该过程可包括三个步骤。过程700的第一个步骤(步骤702)是将写集合内的对象分组在一起。然后，通过使读集合内的对象被包含该对象的写集合代替来变换读集合(步骤704)。最后，通过从最高权重的读集合开始将读集合内的对象分组来生成认证组(步骤706)。该过程继续将对象分组，直到达到认证组的预定大小。
图8中示出这种过程的一个示例。在此示例中，将对象分为大小为4的认证组。存在四个读集合R1、R2、R3和R4，它们在图8内被标示为802。R1的元素为A、I和J，R1的权重为3。这里，每个读集合的权重是在给定间隔内的这些读集合的访问次数。其权重也可被归一化。其他读集合R2、R3和R4的元素和权重也具有相同的意义。
该示例使用图5中所示的写集合。首先，将写集合内的对象分组在一起(图7的步骤702)。这样，得到六个初始组W1、W2、W3、W4、W5和W6。接下来，根据写集合来变换读集合(图7的步骤704)。作为示例，R1的元素A、I和J被这些元素所属的写集合代替。因为A在写集合W1内，I在写集合W3内，而J在写集合W6内，所以R1的元素被W1、W3和W6代替。对R2、R3和R6执行同样的变换。变换过的读集合在图8中被标示为804。
最后一个步聚(图7的步骤706)是按照权重的顺序遍历各读集合，以进一步将对象分组。这里，首先处理R2。R2包含W2和W5。将W2和W5内的对象分组在一起。此时，达到了认证组的大小。D、G、W和T作为认证组1被输出。执行同样的过程以生成认证组2和认证组3。这些认证组在图8内被标示为806。此时，当每个对象都处于一个认证组时，过程停止。每个认证组可用认证树来认证。
在本说明性描述的剩余部分，假定使用认证树来认证认证组。具体地，使用认证组1(图8内的806)作为示例。
通过根据对象会被访问的可能的顺序将对象放置在认证树内可进一步减小认证成本。首先，生成读顺序图。图9示出了读顺序图的示例。在一读顺序图中，节点902例如D、G、W和T是对象。与位于两个节点之间的直接边904相关联的权重代表对第一节点的访问先于对第二节点的访问的次数。例如，权重为6的从D到G的边表示，有6次是先访问D，然后再访问G。该过程还可要求两个相继访问之间的时间位于一定量的时间内以增加这两个节点之间的边的权重。
一旦得到对象顺序图，就可据此放置对象。一种方法是对读顺序图进行深度优先遍历以生成对象将被放置到认证树中的顺序。在图9所示的图中，过程首先以具有权重最大的输出边的节点开始。在此例中，它是D。然后，过程通过首先沿权重最大的输出边前进来对该图进行深度优先遍历。在此例中，接下来是G，然后是W和T。所得的顺序被称为对象访问顺序(OAR)。
图10示出认证树1000。该树的叶子是对象的散列。这种类型的树被称为Merkle散列树，参见例如R.Merkle的“A Certified Digital Signature”，Proceedings of Crypto’98。本发明提供了用于构造Merkle散列树的新颖方法。例如，叶子M₁是通过将安全散列函数H应用于对象D而得到的。以与OAR相同的顺序从左到右放置对象。中间节点是其两个子节点的散列。例如，M_1-2是M₁和M₂的父节点，并且M_1-2是通过在附接在一起的字符串M₁和M₂上应用所述安全散列函数H来计算的。在将其两个子节点散列之后，还用公钥对根节点签名。在此示例内，散列的结果是M_1-4。在此散列上生成公钥签名得到了PKI(M_1-4)。
对象的签名包括树的根以及沿从该节点到根的路径的节点的兄弟节点。因此，D的签名是M₂、M_1-2和R。为了验证一对象，客户只需沿从该对象到根的路径应用散列函数，并生成根散列M_1-4，然后验证R是否是根散列的公钥签名。
图11示出根据对象的访问顺序放置对象的好处。应指出，图11中的认证树1100表示与图10中的认证树1000相同的示例。在D之后验证G是用作一个示例。D和G的签名共享除了第一个散列之外的所有散列。即使用于验证G的第一个散列M₂，也可通过对对象D进行散列来计算，因为M₂＝H(G)。因此，当客户在D之后验证G时，假定已缓存先前的散列，则不需要发送任何散列。因为将经常被相继访问的对象一起放置在认证树内，所以平均节约可以非常大。
应指出，在图8到11中示出的用于按读和写模式来将对象聚类的算法可应用于认证领域之外的其他问题。例如，经常希望按读和写模式来将盘存储器内的对象聚类。当根据读和/或写模式在盘上相互接近地将对象聚类时，可大大提高性能。因此，盘存储系统可使用本发明的聚类方法来按访问局部性将对象聚类。本发明的这种使用可提高盘存储性能，包括吞吐量和/或读等待时间。
给定本文中提供的本发明的教导，下面将说明可从这些教导实现的一些其他的实现和优点。
例如，根据本发明划分对象的一个示例可包括首先考虑写集合，然后考虑读集合。首先将写集合内的对象分组在一起。也可考虑写集合上的权重。还可在权重上设定阈值。仅将权重大于W的写集合分组在一起。然后，根据读集合将初始组分组在一起。此方法可减小与对象更新相关的服务器开销和客户开销。当写集合较小时，此方法工作得特别好。
此外，可由系统来调节认证组的大小。可使用大的认证组来以客户开销和签名大小为代价来减小服务器开销。此外，在一些实现中，每个对象仅可被分配给一个认证树。在另一些实现内，一些对象可被分配给多个对象树。将对象分配给多个认证树可以服务器的开销为代价来减小客户开销。
在一些情况下，如果一对象没有改变，则中间层可将该对象的签名的旧版本发送给客户，并且其他对象的改变可促使为认证树生成新的签名。
很明显，本文中所述的本发明的教导还提供了一种用于探索对象读顺序以减小认证的网络带宽消耗的方法。此外，本发明可获得最可能的读对象的顺序。获得读顺序的一种方法可以是通过读顺序图。读顺序图中的节点是对象。这些节点之间的直接边代表访问的顺序。当客户访问对象A并然后在阈值时间t内访问对象B时，A和B之间的直接边增加1。
用于根据读顺序图生成将对象放置在认证树内的顺序的说明性方法包括以下步骤。该方法首先挑选与权重最大的输出边连接的对象O1。然后，该方法深度优先地遍历该图，并首先沿着权重最大的输出边进行。
此外，本发明的方法允许客户缓存以前读的对象的签名以认证新的对象。客户仅需要检索签名的不在先前签名内的部分来认证新的对象。
此外，客户可根据其存储器的大小、写频率和网络带宽的成本来调节其希望缓存的签名的数量。
另外，中间层可通过客户的网际协议(IP)地址或cookie来跟踪对象，并从而跟踪客户已具有哪些签名。客户还可在其对新对象的请求中通知中间层它已缓存哪个签名。
还应理解，本发明还包括用于提供内容传送服务的技术。作为示例，内容提供者与消费者或客户达成协议(例如，经由服务级别协议或某种非正式协议或安排)以提供内容。然后，根据内容提供者和内容消费者之间的服务合同的条款，内容提供者根据本文中所述的一个或多个聚类和认证方法将内容提供给内容消费者。类似地，也可提供盘存储服务。
最后参照图12，一框图示出可在其中根据本发明的实施例实现内容分发系统的一个或多个组件/步骤(例如参照图1到11所描述的组件和方法)的计算机系统的说明性硬件实现。应理解，各个组件/步骤可在一个这种计算机系统或更优选地在多于一个这种计算机系统中实现。在分布式计算系统中实现的情况下，各个计算机系统和/或设备可经由合适的网络例如因特网或万维网连接。但是，该系统可经由专用网络或局部网络实现。本发明并不局限于任何特定的网络。
如图所示，计算机系统1200可按照经由计算机总线1210或其他可选择的连接安排连接的处理器1202、存储器1204、I/O设备1206和网络接口1208实现。
应理解，本文中使用的术语“处理器”旨在包括任何处理设备，例如包括CPU(中央处理单元)和/或其他处理电路的设备。还应理解，术语“处理器”可以指多于一个的处理设备，并且与一处理设备相关联的各种元件可被其他处理设备共享。
本文中使用的术语“存储器”旨在包括与处理器或CPU相关联的存储器例如RAM、ROM、固定存储设备(例如硬盘驱动器)、可拆装的存储设备(例如软盘)、快闪存储器等。
另外，本文中使用的术语“输入/输出设备”或“I/O设备”旨在包括例如一个或多个用于将数据输入处理单元的输入设备(例如键盘、鼠标等)，和/或一个或多个用于呈现与该处理单元相关联的结果的输出设备(例如扬声器、显示器等)。
此外，本文中使用的术语“网络接口”旨在包括例如一个或多个允许该计算机系统经由合适的通信协议与另一个计算机系统通信的收发器。
因此，包含用于执行本文中所述方法的指令或代码的软件组件可存储在一个或多个相关联的存储设备(例如ROM、固定或可拆装的存储器)内，并且当准备利用时，被CPU部分或全部装载(例如装载到RAM内)和执行。
尽管这里已参照附图说明了本发明的说明性实施例，但是应理解本发明并不局限于这些精确的实施例，并且本技术领域内的技术人员可实现许多其他的改变和修改而不会背离本发明的范围和精神。