Architecture-based Uncertainty Impact Analysis for Confidentiality

In Zeiten vernetzter Systeme ist Vertraulichkeit ein entscheidendes Sicherheitsqualitätsmerkmal.
Da die Behebung von Vertraulichkeitsverletzungen kostspieliger wird, je später
sie entdeckt werden, sollten Softwarearchitekten diese bereits in der Entwurfsphase berücksichtigen.
Während des Architekturentwurfsprozesses treffen Architekten Entwurfsentscheidungen
um Ungewissheit zu reduzieren. Allerdings unterliegen Entscheidungen
oft Annahmen und unbekannten oder ungenauen Informationen. Annahmen können sich
als falsch erweisen und müssen revidiert werden. Dies verursacht erneut Ungewissheit.
... mehr
Ungewissheiten zur Entwurfszeit machen genaue Schlussfolgerungen über die Vertraulichkeit
des Systems daher unmöglich. Es ist also notwendig, ihre Auswirkungen auf
Architekturebene zu bewerten, bevor eine Aussage über die Vertraulichkeit getroffen
wird. Bisher ist diese Bewertung manuell und mühsam und erfordert ein großes Maß an
Wissen. Derzeitige Ansätze berücksichtigen Ungewissheiten nicht zur Entwurfszeit, sprich
in Softwarearchitekturen, sondern in anderen Bereichen wie z.B. bei selbst-adaptiven
Systemen.

Diese Lücke wollen wir wie folgt schließen: Erstens stellen wir einen neuen Ansatz zur
Kategorisierung von Ungewissheiten vor. Darauf aufbauend stellen wir eine Ungewissheitsschablone
zur Verfügung, die es Architekten ermöglicht, Typen von Ungewissheiten und
deren Auswirkungen auf Architekturelementtypen für eine Domäne strukturell abzuleiten.
Zweitens stellen wir eine Ungewissheits-Auswirkungs-Analyse vor, die es Architekten
ermöglicht zu spezifizieren, welche Elemente direkt von Ungewissheiten betroffen sind.
Basierend auf strukturellen Ausbreitungsregeln leitet die Analyse automatisch weitere
Elemente ab, die potenziell betroffen sein könnten.

Es wird die strukturelle Qualität, Anwendbarkeit und Zweck der Schablone evaluiert.
Wir erläutern, dass die Kategorien Prinzipien wie Orthogonalität, Vollständigkeit und Unterscheidbarkeit
erfüllen. Außerdem zeigen wir, dass sie dabei hilft Ungewissheitstypen und
deren Auswirkungen abzuleiten, sowie Wiederverwendbarkeit und Bewusstsein schafft.
Schließlich veranschaulichen wir die Relevanz der Schablone, indem wir zeigen, dass sie im
Vergleich zu bestehenden Taxonomien Ungewissheiten in Softwarearchitekturen genauer
klassifizieren und somit präzisere Aussagen über deren Auswirkungen machen kann. Die
Analyse wird im Hinblick auf Benutzerfreundlichkeit, Funktionalität und Genauigkeit
bewertet. Wir demonstrieren, dass die Analyse die Benutzerfreundlichkeit erhöht, indem
sie die erforderliche Menge an Fachwissen beim Umgang mit Ungewissheiten im Vergleich
zu einer manuellen Analyse reduziert. Anhand der Kontaktnachverfolgungs-Applikation
Corona-Warn-App zeigen wir, dass die Analyse die Anzahl der zu untersuchenden Elemente
im Vergleich zu einer manuellen Analyse um 85% reduziert. Darüber hinaus veranschaulichen
wir, wie sie Architekten ermöglicht, Ungewissheiten während der Entwurfszeit
explizit zu verwalten. Anhand der Fallstudie zeigen wir, dass die Analyse eine 100%ige
Ausbeute bei einer Präzision von 44%-91% hat.

In times of highly interconnected systems, confidentiality becomes a crucial security quality
attribute. As fixing confidentiality breaches become more costly the later they are found,
software architects should address confidentiality early in the design time. During the
architectural design process, software architects use Architectural Design Decisions (ADDs)
to handle the degrees of freedom, i.e. uncertainty. However, ADDs are often subjected
to assumptions, and unknown or imprecise information. Assumptions may turn out to
be wrong and need to be revised. This re-introduces uncertainty. ... mehrThus, uncertainty at
design time prevents from drawing precise conclusions about the confidentiality of the
system. It is therefore necessary to assess their impact at architectural level before making
a statement about confidentiality. So far, this assessment is manual and very tedious, and
requires a great deal of knowledge about uncertainties, their characteristics and impact on
the confidentiality of systems. Current approaches dealing with uncertainties in software
systems do not consider them at design time, i.e. in software architectures, but often in
other contexts such as self-adaptive systems.

To close this gap, we make the following contributions: First, we propose a novel
uncertainty categorization approach to assess the impact of uncertainties in software
architectures. Based on that, we provide an uncertainty template that enables software
architects to structurally derive types of uncertainties and their impact on architectural
element types for a domain of interest. Second, we provide an Uncertainty Impact Analysis
(UIA) that enables software architects to specify which architectural elements are directly
affected by uncertainties. Based on structural propagation rules, the analysis automatically
derives further architectural elements which are potentially affected.

We evaluate the structural quality, applicability and the purpose of the uncertainty
template. We show that underlying categories fulfil principles of good classifications, such
as orthogonality, exhaustiveness and differentiability. We demonstrate its capability to
derive uncertainty types, their impact and how it enables the reuse of knowledge and
creation of awareness. Lastly, we illustrate the relevance of the uncertainty template by
showing that it can classify uncertainties in software architectures more accurately and
thus make more precise statements about their impact on the system compared to existing
taxonomies. The UIA is evaluated with regard to usability, functionality, and accuracy. We
show that the UIA increases the usability by reducing the required amount of expertise
when dealing with uncertainties compared to a manual analysis. Using the large-scale
open-source contract tracing application called Corona Warn App (CWA) as case study, we
show that the UIA reduces the amount of elements to be examined by 85% compared to the
amount of a manual analysis. We further illustrate how it enables architects to explicitly
manage uncertainties during design time. Using the CWA case study, we show that the
UIA achieves 100% recall of the actually affected elements, while maintaining 44%-91%
precision.