Apple mengizinkan mesin browser pihak ketiga seperti Chromium di UE

Untuk mematuhi undang-undang DMA yang akan datang di UE, Apple hari ini mengumumkan perubahan besar pada kebijakan App Store-nya.

Pertama, pengembang aplikasi akan dapat menggunakan mesin browser alternatif. Hingga saat ini, bahkan browser web pihak ketiga di iOS menggunakan WebKit milik Apple. Dengan perubahan baru ini, mesin browser alternatif seperti Chromium dapat digunakan untuk aplikasi browser khusus dan aplikasi yang memberikan pengalaman penelusuran dalam aplikasi di UE.

Namun, Apple hanya akan mengizinkan pengembang untuk menerapkan mesin browser alternatif setelah memenuhi kriteria tertentu dan berkomitmen terhadap sejumlah persyaratan privasi dan keamanan yang berkelanjutan, termasuk pembaruan keamanan tepat waktu untuk mengatasi ancaman dan kerentanan yang muncul. Baca tentang persyaratan Apple untuk mesin browser pihak ketiga di bawah.

Agar memenuhi syarat untuk mendapatkan hak tersebut, aplikasi Anda harus:

• Hanya tersedia di iOS di Uni Eropa
• Jadilah biner terpisah dari aplikasi apa pun yang menggunakan mesin browser web yang disediakan sistem
• Memiliki default hak browser web
• Penuhi persyaratan fungsional berikut untuk memastikan aplikasi Anda menggunakan mesin browser web yang menyediakan dasar fungsionalitas web:
  • Lulus persentase minimum tes yang tersedia dari rangkaian tes standar industri:
    • 90% dari Tes Platform Web
    • dan 80% dari Test262
  • Memenuhi persyaratan rangkaian pengujian di atas jika kompilasi Just in Time (JIT) tidak tersedia (misalnya, jika Mode Lockdown diaktifkan oleh pengguna)
• Anda dan aplikasi Anda harus memenuhi persyaratan keamanan berikut:
  • Berkomitmen untuk mengamankan proses pengembangan, termasuk memantau kerentanan rantai pasokan perangkat lunak aplikasi Anda, dan mengikuti praktik terbaik seputar pengembangan perangkat lunak yang aman (seperti melakukan pemodelan ancaman pada fitur baru yang sedang dikembangkan).
  • Berikan URL ke kebijakan pengungkapan kerentanan yang dipublikasikan yang mencakup informasi kontak untuk pelaporan kerentanan keamanan dan masalah kepada Anda oleh pihak ketiga (yang mungkin termasuk Apple), informasi apa yang harus diberikan dalam laporan, dan kapan pembaruan status diharapkan.
  • Berkomitmen untuk memitigasi kerentanan yang dieksploitasi dalam aplikasi Anda atau mesin browser web alternatif yang digunakannya secara tepat waktu (misalnya, 30 hari untuk kelompok kerentanan paling sederhana yang dieksploitasi secara aktif).
  • Berikan URL ke halaman web (atau halaman) yang tersedia untuk umum yang memberikan informasi tentang kerentanan yang dilaporkan yang telah diselesaikan dalam versi mesin browser tertentu dan versi aplikasi terkait jika berbeda
  • Jika mesin browser web alternatif Anda menggunakan penyimpanan sertifikat akar yang tidak diakses melalui SDK iOS, Anda harus membuat kebijakan sertifikat akar dapat diakses publik dan pemilik kebijakan tersebut harus berpartisipasi sebagai browser di Otoritas Sertifikasi/Forum Browser.
  • Menunjukkan dukungan terhadap protokol Keamanan Lapisan Transportasi modern untuk melindungi komunikasi data dalam perjalanan saat mesin browser sedang digunakan.

Persyaratan keamanan program

Anda harus melakukan hal berikut:

• Menggunakan bahasa pemrograman yang aman untuk memori, atau fitur yang meningkatkan keamanan memori dalam bahasa lain, dalam mesin browser web alternatif minimal untuk semua kode yang memproses konten web;
• Mengadopsi mitigasi keamanan terbaru (misalnya, Kode Otentikasi Pointer) yang menghilangkan kelompok kerentanan atau mempersulit pengembangan rantai eksploitasi;
• Ikuti desain yang aman, dan pengkodean yang aman, praktik terbaik;
• Gunakan pemisahan proses untuk membatasi dampak eksploitasi dan memvalidasi komunikasi antar-proses (IPC) dalam mesin browser web alternatif;
• Pantau kerentanan dalam ketergantungan perangkat lunak pihak ketiga dan rantai pasokan perangkat lunak aplikasi Anda yang lebih luas, bermigrasi ke versi yang lebih baru jika kerentanan berdampak pada aplikasi Anda;
• Tidak menggunakan kerangka kerja atau pustaka perangkat lunak yang tidak lagi menerima pembaruan keamanan sebagai respons terhadap kerentanan; Dan
• Prioritaskan penyelesaian kerentanan yang dilaporkan dengan bijaksana, dibandingkan pengembangan fitur baru. Misalnya, jika mesin browser web alternatif menjembatani kemampuan antara SDK platform dan konten web untuk mengaktifkan API Web, berdasarkan permintaan, Anda harus menghapus dukungan untuk API Web tersebut jika diidentifikasi menimbulkan kerentanan. Sebagian besar kerentanan harus diselesaikan dalam 30 hari, namun beberapa mungkin lebih kompleks dan mungkin memerlukan waktu lebih lama.

Persyaratan privasi program

Anda harus melakukan hal berikut:

• Memblokir cookie lintas situs (yaitu cookie pihak ketiga) secara default kecuali pengguna secara tegas memilih untuk mengizinkan cookie tersebut dengan persetujuan;
• Mempartisi penyimpanan atau status apa pun yang dapat diamati oleh situs web per situs web tingkat atas, atau memblokir penyimpanan atau status tersebut dari penggunaan dan pengamatan lintas situs;
• Tidak menyinkronkan cookie dan status antara browser dan aplikasi lain, bahkan aplikasi lain dari pengembang;
• Tidak membagikan pengenal perangkat dengan situs web tanpa persetujuan dan aktivasi pengguna;
• Memberi label pada koneksi jaringan menggunakan API yang disediakan untuk menghasilkan Laporan Privasi Aplikasi di iOS; Dan
• Ikuti standar web yang umum diadopsi tentang kapan memerlukan aktivasi pengguna yang terinformasi untuk API web (misalnya, akses papan klip atau layar penuh), termasuk yang menyediakan akses ke PII.

Apple juga akan memberi pengembang resmi aplikasi browser khusus akses ke mitigasi dan kemampuan keamanan yang memungkinkan mereka membangun mesin browser yang aman, dan mengakses fitur seperti kunci sandi untuk login pengguna yang aman, kemampuan sistem multiproses untuk meningkatkan keamanan dan stabilitas, sandbox konten web yang memerangi perkembangan ancaman keamanan, dan banyak lagi.

Selain mengizinkan mesin browser pihak ketiga, Apple akan menampilkan layar pilihan baru di mana pengguna dapat memilih browser web default dari daftar opsi. Saat pengguna di UE pertama kali membuka Safari di iOS 3, mereka akan diminta untuk memilih browser default mereka.