Architecture-Derived CBOMs for Cryptographic Migration: A Security-Aware Architecture Tradeoff Method

Resumo Técnico: SATAM para Migração Criptográfica

1. Problema Identificado

A migração criptográfica (impulsionada pela descontinuação de algoritmos, mudanças regulatórias e a preparação para a criptografia pós-quântica) exige mais do que um simples inventário de ativos criptográficos.

• Limitação dos CBOMs Atuais: As "Listas de Materiais Criptográficos" (CBOMs) existentes são tipicamente derivadas de ferramentas de análise estática ou inventários automatizados. Elas listam o que está sendo usado (algoritmos, bibliotecas), mas falham em capturar o contexto arquitetural, a intenção de segurança e o racional de decisão.
• Consequência: Sem saber por que uma criptografia foi escolhida, quais ameaças ela mitiga ou quais compromissos (tradeoffs) foram considerados, o planejamento de migração torna-se arriscado. A falta de transparência arquitetural aumenta o risco de regressões de segurança e dificulta a avaliação da viabilidade e do impacto de substituir mecanismos criptográficos.

2. Metodologia Proposta: SATAM

O artigo apresenta o SATAM (Security-Aware Architecture Tradeoff Analysis Method), uma adaptação do método de avaliação de arquitetura baseada em cenários (ATAM) para abordar explicitamente decisões criptográficas.

O SATAM integra várias abordagens estabelecidas em um fluxo coeso:

1. arc42: Serve como baseline para a descrição arquitetural, identificando pontos de decisão relevantes para segurança.
2. STRIDE: Aplicado aos elementos arquiteturais e fluxos de dados para modelar ameaças sistematicamente.
3. Security QAS (Quality Attribute Scenarios): As ameaças do STRIDE são transformadas em cenários de qualidade de segurança mensuráveis, definindo o comportamento esperado do sistema.
4. ADRs (Architecture Decision Records): As decisões criptográficas tomadas para atender aos cenários de segurança são documentadas explicitamente como ADRs, capturando o contexto e o racional.
5. CARAF (Crypto Agility Risk Assessment Framework): Utilizado para avaliar os riscos de migração (como custos de transição e prontidão pós-quântica) com base nas decisões documentadas nos ADRs.

O Fluxo do SATAM:
O método segue as fases do ATAM, mas com extensões de segurança:

• Preparação: Definição de partes interessadas de segurança e baseline arquitetural.
• Análise: Identificação de ameaças (STRIDE) $\rightarrow$ Definição de Cenários (Security QAS) $\rightarrow$ Documentação de Decisões (ADRs) $\rightarrow$ Avaliação de Risco (CARAF).
• Resultado: Geração de um CBOM anotado, derivado diretamente da análise arquitetural.

3. Principais Contribuições

O trabalho oferece quatro contribuições principais:

1. O Método SATAM: Uma adaptação da avaliação de arquitetura que torna as decisões criptográficas explícitas, analisáveis e rastreáveis.
2. Modelo de Rastreabilidade Conceitual: Um modelo que conecta elementos arquiteturais, ameaças de segurança, decisões de design (ADRs) e ativos criptográficos.
3. CBOMs Derivados da Arquitetura: Um método para gerar CBOMs enriquecidos com intenção de segurança e racional arquitetural, em vez de meros inventários de ferramentas.
4. Integração com CARAF: Demonstração de como artefatos derivados da arquitetura fornecem entradas estruturadas para a avaliação de risco de agilidade criptográfica.

4. Resultados e Validação

A pesquisa segue uma abordagem de Pesquisa Baseada em Design (Design Science Research).

• Validação Analítica: O método foi avaliado quanto à consistência interna, rastreabilidade e alinhamento com práticas de avaliação de arquitetura.
• Prova de Conceito (PoC): Foi aplicado em um sistema de complexidade moderada (API pública, serviço backend, banco de dados).
  • O exemplo demonstrou como ameaças específicas (ex: modificação de tráfego no fluxo serviço-banco de dados) levam a cenários de segurança (ex: exigir TLS 1.3 sem downgrade).
  • Essas decisões foram documentadas em ADRs e avaliadas via CARAF para determinar riscos de migração (ex: custo de rotação de certificados, dependências operacionais).
  • O resultado final foi um CBOM anotado que não apenas lista o TLS, mas explica que ele foi escolhido para mitigar ameaças de integridade e confidencialidade específicas, com restrições de migração claras.

5. Significado e Impacto

• Mudança de Paradigma: O SATAM propõe uma mudança de "inventário primeiro" (focado em ferramentas) para "arquitetura primeiro" (focado em contexto).
• Tomada de Decisão Informada: Ao vincular ativos criptográficos a ameaças e decisões de design, as organizações podem avaliar com precisão o impacto de segurança de uma migração, evitando a remoção de proteções críticas ou a introdução de novas vulnerabilidades.
• Agilidade Criptográfica de Longo Prazo: O método suporta a agilidade criptográfica ao documentar o "porquê" das escolhas atuais, facilitando futuras transições (como para a criptografia pós-quântica) e garantindo que os requisitos de segurança sejam mantidos durante a evolução do sistema.
• Padronização: O CBOM resultante utiliza extensões compatíveis com o CycloneDX, permitindo que o contexto de segurança seja consumido por ferramentas automatizadas e processos de governança.

Em suma, o SATAM preenche a lacuna entre a avaliação de arquitetura de segurança e a gestão de inventário criptográfico, fornecendo uma base sólida para migrações seguras e planejadas em sistemas complexos e interdependentes.