Uncertainty-aware Confidentiality Analysis Using Architectural Variations

Bei der Planung von Software-Architekturen sind viele Aspekte des zu entwickelnden Systems noch unklar. Je größer die Architektur ist, desto mehr Entwurfsentscheidungen enthält sie und desto mehr Ungewissheiten bestehen über das System. Selbst wenn bereits ein Feinentwurf der Architektur existiert, kann es immernoch ungewisse Aspekte geben, wie z. B. Nutzereingaben. Softwaresysteme enthalten in der Regel Daten, auf die nur autorisierte Personen Zugriff haben sollen.
Darüber hinaus müssen Unternehmen Gesetze einhalten, die die Verwendung oder Speicherung von Daten vorschreiben. ... mehrVerstöße gegen die Vertraulichkeit von Daten können Unternehmen teuer zu stehen kommen. Daher ist es dringend ratsam, die Einhaltung von Vertraulichkeitsanforderungen bereits im Entwurfsprozess zu berücksichtigen, auch wenn die Architektur noch nicht vollständig definiert ist.
Bisherige Ansätze zur Analyse der Vertraulichkeit liefern verfälschte Ergebnisse, wenn Ungewissheiten einbezogen werden sollen oder ignorieren Ungewissheit vollständig. Um überprüfen zu können, ob in einer Architektur Verstöße gegen Vertraulichkeits-Richtlinien auftreten, muss derzeit untersucht werden, wo die Ungewissheit auftritt und welche Auswirkungen sie auf die Elemente der Architektur hat.
Außerdem kann eine große Architektur sehr komplex werden, so dass es schwieriger wird, alle Stellen zu finden, an denen Vertraulichkeitsverletzungen auftreten können. Dies stellt eine Hürde für Softwarearchitekten dar, Vertraulichkeitsverletzungen in ihrer Gesamtheit abzufangen und Vertraulichkeit nach Änderungen im Entwurf zu erhalten.
In dieser Arbeit stellen wir einen Ansatz vor, der die Ergebnisse bestehender Vertraulichkeitsanalysen mit Modellierungsfähigkeiten über Ungewissheiten kombiniert.
Hierfür entwickeln wir einen Algorithmus, der als Eingabe Informationen über die Ungewissheit, die Architektur und die aufgetretenen Vertraulichkeitsverletzungen erhält. Das Ergebnis ist eine Analyse, die Ungewissheiten hinsichtlich ihrer Auswirkungen auf eine Vertraulichkeitsverletzung untersucht und einem Softwarearchitekten schneller zeigt, wo und warum Vertraulichkeitsverletzungen auftreten. Der Algorithmus ist auf die Möglichkeit einer zukünftigen Erweiterung ausgelegt.
Wir evaluieren unseren Ansatz, indem wir ihn auf Fallstudien anwenden und die Nutzbarkeit und Durchführbarkeit prüfen.
Unter der Annahme, dass wir architektonische Ungewissheit als Variationen beschreiben können, die zu Szenarien der Architektur führen, zeigen die Ergebnisse, dass der Ansatz Ungewissheitseinflüsse herausfiltern kann, die nicht für Vertraulichkeitsverletzungen verantwortlich sind.

When planning software archite ctures, many aspects of the system to be developed are still unclear.The larger the architecture, the more design decisions it contains and the more uncertainty exists about the system.
Even if a detailed design of the architecture already exists, there may still be uncertain aspects, such as user inputs Software systems usually contain data that only authorized persons should have access to. In addition, companies have to comply with laws that specify the usage or storage policies of data.
Violations of confidentiality requirements can cost companies high fines.
... mehr
Therefore, it is strongly advised to consider confidentiality compliance in the design process, even if the architecture is not yet fully defined.
Previous approaches that analyze confidentiality provide skewed results when uncertainties are attempted to be included, or ignore uncertainty entirely. Currently, to be able to check whether violations of confidentiality policies occur in an architecture, it must be examined where uncertainty occurs and what effect it has on elements in the architecture. Furthermore, a large architecture can become very complex, making it more difficult to find all the places where confidentiality violations can occur. This poses a hurdle for software architects to intercept violations of confidentiality in their entirety and to maintain confidentiality after changes in the design.
In this thesis, we present an approach that combines the results of existing confidentiality analyses with modeling capabilities about uncertainties.
For this, we develop an algorithm that receives information about the uncertainty, the architecture and the confidentiality breaches that have occurred as input. This results in an analysis that examines uncertainties regarding their impact on a violation of confidentiality and shows a software architect more quickly where and why violations of confidentiality occur. The algorithm is designed for the possibility of future expansion. We evaluate our approach by applying it to case studies and checking its usability and feasibility. Under the assumption that we can describe architectural uncertainty as variations that lead to scenarios of the architecture, the results indicate that the approach can filter uncertainty impacts that are not responsible for confidentiality violations.