Architecture-Derived CBOMs for Cryptographic Migration: A Security-Aware Architecture Tradeoff Method

Resumen Técnico: SATAM para la Migración Criptográfica

1. El Problema

La migración criptográfica (impulsada por la obsolescencia de algoritmos, cambios regulatorios y la preparación para la criptografía post-cuántica) requiere más que un simple inventario de activos.

• Limitación de los CBOMs actuales: Las Actas de Materiales Criptográficas (CBOMs) existentes se derivan principalmente de herramientas de análisis estático o inventarios automatizados. Aunque enumeran algoritmos y bibliotecas, carecen de intención arquitectónica, justificación de diseño y contexto de seguridad.
• Falta de trazabilidad: No explican por qué se usa una criptografía específica, qué amenazas mitigan o qué compensaciones (tradeoffs) se consideraron.
• Consecuencia: Sin este contexto, la planificación de la migración es arriesgada. Es difícil evaluar el impacto en la seguridad, la viabilidad o el riesgo de reemplazar mecanismos criptográficos, lo que puede llevar a regresiones de seguridad no intencionadas o a una falta de agilidad a largo plazo.

2. Metodología: SATAM

El artículo propone SATAM (Security-Aware Architecture Tradeoff Analysis Method), un método de evaluación de arquitectura adaptado para abordar explícitamente las decisiones criptográficas y su papel en la mitigación de amenazas. SATAM no es un nuevo formato de inventario, sino un proceso de evaluación que enriquece la arquitectura con datos de seguridad.

Integración de Enfoques Existentes:
SATAM combina y adapta varias metodologías establecidas en un flujo coherente:

1. ATAM (Método de Análisis de Compensaciones de Arquitectura): Proporciona la estructura base de evaluación basada en escenarios.
2. arc42: Se utiliza como plantilla para la descripción arquitectónica, asegurando que los puntos de decisión y los activos criptográficos sean visibles.
3. STRIDE: Se aplica a elementos arquitectónicos (componentes, flujos de datos, límites de confianza) para identificar amenazas específicas.
4. Security QAS (Escenarios de Atributos de Calidad de Seguridad): Las amenazas de STRIDE se transforman en escenarios de calidad medibles que definen el comportamiento esperado del sistema.
5. ADR (Registros de Decisiones Arquitectónicas): Las decisiones criptográficas tomadas para cumplir los QAS se documentan explícitamente, capturando el contexto y la justificación.
6. CARAF (Marco de Evaluación de Riesgos de Agilidad Criptográfica): Se utiliza como lente de análisis de riesgo para evaluar la idoneidad a largo plazo de las decisiones (costos de migración, preparación cuántica).

El Proceso SATAM:
El método sigue las fases de ATAM pero las enriquece:

• Preparación: Definición de partes interesadas de seguridad y preparación de la arquitectura en arc42.
• Evaluación:
  • Identificación de amenazas con STRIDE.
  • Definición de escenarios de seguridad (QAS).
  • Documentación de decisiones en ADRs.
  • Evaluación de riesgos y agilidad mediante CARAF.
• Resultado: Consolidación de todos los hallazgos en un CBOM anotado y sensible al contexto.

3. Contribuciones Clave

El trabajo presenta cuatro contribuciones principales:

1. SATAM: Una adaptación de la evaluación de arquitectura basada en escenarios que captura explícitamente las decisiones criptográficas y su justificación de seguridad.
2. Modelo de Trazabilidad Conceptual: Un modelo que vincula formalmente:
   • Elementos arquitectónicos $\rightarrow$ Amenazas (STRIDE) $\rightarrow$ Requisitos (QAS) $\rightarrow$ Decisiones (ADRs) $\rightarrow$ Activos Criptográficos.
3. Método de Derivación de CBOMs: Una técnica para generar CBOMs basados en la arquitectura que incluyen metadatos críticos para la migración (intención de seguridad, justificación, evaluación de riesgos).
4. Integración con CARAF: Una demostración de cómo los artefactos derivados de la arquitectura proporcionan entradas estructuradas para la evaluación de riesgos de agilidad criptográfica.

Extensión del CBOM:
El CBOM resultante no es solo una lista, sino un artefacto de diseño que incluye extensiones compatibles con CycloneDX. Cada entrada contiene:

• El activo criptográfico.
• El elemento arquitectónico protegido.
• Las amenazas mitigadas.
• La justificación de la decisión (ADR).
• La evaluación de riesgo de migración (CARAF).

4. Resultados y Validación

• Enfoque de Investigación: Se utilizó un enfoque de Investigación de Diseño (Design Science Research).
• Evaluación Analítica y de Concepto: El método se evaluó mediante consistencia interna y un ejemplo de prueba de concepto (Proof-of-Concept).
• Caso de Estudio: Se aplicó SATAM a un sistema moderadamente complejo (API pública, servicio backend, base de datos).
  • Se demostró cómo un flujo de datos específico (servicio a base de datos) se analizó con STRIDE, se transformó en un QAS de integridad/confidencialidad, se documentó en un ADR (ej. uso de TLS 1.3) y se evaluó con CARAF para determinar los riesgos de migración futura.
• Hallazgo Principal: Los CBOMs derivados de la arquitectura capturan el contexto de migración que falta en los enfoques basados en inventarios. Permiten entender no solo qué se usa, sino por qué y qué tan difícil será cambiarlo sin violar supuestos de seguridad.

5. Significado e Impacto

• Mejora en la Planificación de Migración: SATAM proporciona la información necesaria para tomar decisiones informadas sobre la sustitución de mecanismos criptográficos, reduciendo el riesgo de regresiones de seguridad.
• Agilidad Criptográfica a Largo Plazo: Al vincular las decisiones criptográficas con la arquitectura y los riesgos futuros (como la computación cuántica), las organizaciones pueden planificar transiciones más fluidas y menos costosas.
• Transparencia Semántica: Transforma los CBOMs de listas estáticas de componentes en artefactos dinámicos que reflejan la lógica de diseño y los requisitos de seguridad del sistema.
• Relevancia para la Criptografía Post-Cuántica: El método es crucial para la transición a la criptografía post-cuántica, donde entender las dependencias arquitectónicas y los costos de migración es vital para la viabilidad del proyecto.

En conclusión, el artículo propone un cambio de paradigma: pasar de la descubrimiento de inventarios a la derivación basada en arquitectura, asegurando que la criptografía se entienda como una parte integral de la estrategia de seguridad del sistema y no solo como una colección de bibliotecas.