Apple consentirà motori browser di terze parti come Chromium nell'UE

Per conformarsi all'imminente legge DMA nell'UE, Apple oggi ha annunciato importanti modifiche alle politiche dell’App Store.

Innanzitutto, gli sviluppatori di app potranno utilizzare motori browser alternativi. Fino ad ora, anche i browser Web di terze parti su iOS utilizzavano il WebKit di Apple. Con questa nuova modifica, motori browser alternativi come Chromium possono essere utilizzati per app browser dedicate e app che forniscono esperienze di navigazione in-app nell'UE.

Tuttavia, Apple autorizzerà gli sviluppatori a implementare motori browser alternativi solo dopo aver soddisfatto criteri specifici e essersi impegnati a rispettare una serie di requisiti di privacy e sicurezza continui, inclusi aggiornamenti di sicurezza tempestivi per affrontare minacce e vulnerabilità emergenti. Leggi di seguito i requisiti di Apple per i motori browser di terze parti.

Per qualificarsi per il diritto, la tua app deve:

• Essere disponibile su iOS solo nell'Unione Europea
• Essere un file binario separato da qualsiasi app che utilizza il motore del browser Web fornito dal sistema
• Avere il valore predefinito autorizzazione del browser Web
• Soddisfa i seguenti requisiti funzionali per garantire che la tua app utilizzi un motore del browser Web che fornisca una base di funzionalità Web:
  • Supera una percentuale minima di test disponibili nelle suite di test standard del settore:
    • 90% da Test della piattaforma web
    • e il 80% da Test262
  • Soddisfare i requisiti della suite di test di cui sopra se la compilazione Just in Time (JIT) non è disponibile (ad esempio, se la modalità di blocco è abilitata dall'utente)
• Tu e la tua app dovete soddisfare i seguenti requisiti di sicurezza:
  • Impegnati a proteggere i processi di sviluppo, incluso il monitoraggio delle vulnerabilità della catena di fornitura del software della tua app e il rispetto delle migliori pratiche relative allo sviluppo sicuro del software (come l'esecuzione della modellazione delle minacce sulle nuove funzionalità in fase di sviluppo).
  • Fornisci un URL a una politica di divulgazione delle vulnerabilità pubblicata che includa le informazioni di contatto per segnalarti vulnerabilità e problemi di sicurezza da parte di terze parti (che potrebbero includere Apple), quali informazioni fornire in una segnalazione e quando aspettarsi aggiornamenti di stato.
  • Impegnarsi a mitigare le vulnerabilità sfruttate all'interno della propria app o nel motore del browser Web alternativo utilizzato in modo tempestivo (ad esempio, 30 giorni per le classi più semplici di vulnerabilità sfruttate attivamente).
  • Fornire un URL a una o più pagine Web disponibili pubblicamente che fornisca informazioni su quali vulnerabilità segnalate sono state risolte in versioni specifiche del motore del browser e nella versione dell'app associata, se diversa
  • Se il motore del tuo browser Web alternativo utilizza un archivio di certificati root a cui non è possibile accedere tramite l'SDK iOS, devi rendere la policy del certificato root accessibile pubblicamente e il proprietario di tale policy deve partecipare come browser all'autorità di certificazione/forum del browser.
  • Dimostrare il supporto per i moderni protocolli Transport Layer Security per proteggere le comunicazioni dei dati in transito quando il motore del browser è in uso.

Requisiti di sicurezza del programma

Devi fare quanto segue:

• Utilizzare linguaggi di programmazione sicuri per la memoria o funzionalità che migliorano la sicurezza della memoria all'interno di altri linguaggi, almeno all'interno del motore del browser Web alternativo per tutto il codice che elabora il contenuto Web;
• Adottare le più recenti misure di mitigazione della sicurezza (ad esempio, i codici di autenticazione dei puntatori) che rimuovono classi di vulnerabilità o rendono molto più difficile lo sviluppo di una catena di exploit;
• Seguire la progettazione sicura e la codifica sicura, le migliori pratiche;
• Utilizzare la separazione dei processi per limitare gli effetti dello sfruttamento e convalidare la comunicazione tra processi (IPC) all'interno del motore del browser Web alternativo;
• Monitora le vulnerabilità in eventuali dipendenze di software di terze parti e nella più ampia catena di fornitura del software della tua app, migrando a versioni più recenti se una vulnerabilità influisce sulla tua app;
• Non utilizzare framework o librerie software che non ricevono più aggiornamenti di sicurezza in risposta alle vulnerabilità; E
• Dare priorità alla risoluzione tempestiva delle vulnerabilità segnalate, rispetto allo sviluppo di nuove funzionalità. Ad esempio, laddove il motore del browser Web alternativo collega le funzionalità tra l'SDK della piattaforma e il contenuto Web per abilitare le API Web, su richiesta è necessario rimuovere il supporto per tale API Web se viene identificata come presentante una vulnerabilità. La maggior parte delle vulnerabilità dovrebbe essere risolta in 30 giorni, ma alcune potrebbero essere più complesse e richiedere più tempo.

Requisiti sulla privacy del programma

Devi fare quanto segue:

• Bloccare i cookie cross-site (ovvero i cookie di terze parti) per impostazione predefinita a meno che l'utente non scelga espressamente di consentire tali cookie con il consenso informato;
• Suddividere qualsiasi archiviazione o stato osservabile dai siti Web per sito Web di livello superiore o bloccare tale archiviazione o stato dall'utilizzo e dall'osservabilità tra siti;
• Non sincronizzare i cookie e lo stato tra il browser e qualsiasi altra app, anche altre app dello sviluppatore;
• Non condividere gli identificatori del dispositivo con i siti web senza il consenso informato e l'attivazione dell'utente;
• Etichettare le connessioni di rete utilizzando le API fornite per generare un rapporto sulla privacy dell'app su iOS; E
• Seguire gli standard web comunemente adottati su quando richiedere l'attivazione informata dell'utente per le API web (ad esempio, accesso agli appunti o a schermo intero), compresi quelli che forniscono l'accesso alle PII.

Apple fornirà inoltre agli sviluppatori autorizzati di app browser dedicate l'accesso a mitigazioni e funzionalità di sicurezza per consentire loro di creare motori browser sicuri e funzionalità di accesso come passkey per l'accesso utente sicuro, funzionalità di sistema multiprocesso per migliorare sicurezza e stabilità, sandbox di contenuti web che combattono l'evoluzione minacce alla sicurezza e altro ancora.

Oltre a consentire motori browser di terze parti, Apple visualizzerà una nuova schermata di scelta in cui gli utenti potranno scegliere un browser Web predefinito da un elenco di opzioni. Quando gli utenti nell'UE aprono Safari per la prima volta su iOS 3, verrà loro richiesto di scegliere il browser predefinito.