Design Space Evaluation for Confidentiality under Architectural Uncertainty

In den frühen Phasen der Entwicklung einer Softwarearchitektur sind viele Eigenschaften des finalen Systems noch unbekannt und schwer zu ermitteln. Es kann mehrere mögliche Softwarearchitekturen geben, aber es ist ungewiss, welche Architektur die beste Entscheidung ist. Softwarearchitekten können Entwurfsraumerkundung (engl. Design Space Exploration) nutzen, um Qualitätsmetriken einzelner Architekturkandidaten zu ermitteln und den optimalen Kandidaten zu wählen.

Entwurfsraumerkundung ist ein ressourcenintensiver Prozess. Ein Architekturkandidat kann bestimmte Eigenschaften aufweisen, die es direkt von weiterer Erwägung als optimalen Kandidaten ausschließt, unabhängig von seinen Qualitätsmetriken. ... mehrEin Beispiel solcher Eigenschaften sind Vertraulichkeitsverletzungen, die durch die Nutzung bestimmter Komponenten oder Kombinationen von Komponenten in einer Architektur eingeführt werden. Sollten diese Eigenschaften frühzeitig identifiziert werden können, kann die Ermittlung der Qualitätsmetriken des Architekturkandidaten übersprungen werden und der Kandidat verworfen werden. Dies kann wertvolle Ressourcen einsparen.

Zurzeit können solche Analysen wie die Vertraulichkeitsanalyse nur getrennt von dem Entwurfsraumerkundungsprozess durchgeführt werden. Zunächst werden optimale Kandidaten ermittelt, und später erst einzeln analysiert. Unser Ansatz erweitert PerOpteryx um einen zusätzlichen Filter, der es erlaubt existierende generische Analysen auf Architekturkandidaten im Entwurfsraumerkundungsprozess durchzuführen. Dadurch wird das frühzeitige Verwerfen von ungeeigneten Kandidaten vor der Ermittlung von Qualitätsmetriken ermöglicht.

Wir nutzen diesen Filter um eine Vertraulichkeitsanalyse in den Entwurfsraumerkundungsprozess zu integrieren, und stellen weitere Beispielanalysen bereit, die in dem Filter genutzt werden können. Wir evaluieren unseren Ansatz indem wir PerOpteryx mit unserem Filter auf Fallstudien ausführen. Unsere Ergebnisse deuten an, dass unser Filter wie erwartet funktioniert und Architekturkandidaten analysieren und verwerfen kann, und die Ermittlung von Qualitätseigenschaften für ungeeignete Kandidaten überspringt.

In the early stages of developing a software architecture, many properties of the final system are yet unknown, or difficult to determine. There may be multiple viable architectures, but uncertainty about which architecture performs the best. Software architects can use Design Space Exploration to evaluate quality properties of architecture candidates to find the optimal solution.

Design Space Exploration can be a resource intensive process. An architecture candidate may feature certain properties which disqualify it from consideration as an optimal candidate, regardless of its quality metrics. ... mehrAn example for this would be confidentiality violations in data flows introduced by certain components or combinations of components in the architecture. If these properties can be identified early, quality evaluation can be skipped and the candidate discarded, saving resources.

Currently, analyses for identifying such properties are performed disjunct from the design space exploration process. Optimal candidates are determined first, and analyses are then applied to singular architecture candidates. Our approach augments the PerOpteryx design space exploration pipeline with an additional architecture candidate filter stage, which allows existing generic candidate analyses to be integrated into the DSE process. This enables automatic execution of analyses on architecture candidates during DSE, and early discarding of unwanted candidates before quality evaluation takes place.

We use our filter stage to perform data flow confidentiality analyses on architecture candidates, and further provide a set of example analyses that can be used with the filter. We evaluate our approach by running PerOpteryx on case studies with our filter enabled. Our results indicate that the filter stage works as expected, able to analyze architecture candidates and skip quality evaluation for unwanted candidates.