Apple staat browserengines van derden, zoals Chromium, toe in de EU

Om te voldoen aan de aankomende DMA-wet in de EU heeft Apple vandaag aangekondigd grote wijzigingen in het App Store-beleid.

Ten eerste zullen app-ontwikkelaars alternatieve browser-engines kunnen gebruiken. Tot nu toe gebruikten zelfs webbrowsers van derden op iOS Apple's eigen WebKit. Met deze nieuwe wijziging kunnen alternatieve browser-engines zoals Chromium worden gebruikt voor speciale browser-apps en apps die in-app-browse-ervaringen bieden in de EU.

Apple zal ontwikkelaars echter alleen toestemming geven om alternatieve browser-engines te implementeren nadat ze aan specifieke criteria hebben voldaan en zich hebben gebonden aan een aantal doorlopende privacy- en beveiligingsvereisten, waaronder tijdige beveiligingsupdates om opkomende bedreigingen en kwetsbaarheden aan te pakken. Lees hieronder meer over de vereisten van Apple voor browserengines van derden.

Om voor dit recht in aanmerking te komen, moet uw app:

• Wees alleen beschikbaar op iOS in de Europese Unie
• Wees een afzonderlijk binair bestand van elke app die de door het systeem geleverde webbrowser-engine gebruikt
• Heb de standaard recht op webbrowser
• Voldoe aan de volgende functionele vereisten om ervoor te zorgen dat uw app een webbrowser-engine gebruikt die een basislijn van webfunctionaliteit biedt:
  • Slaag voor een minimumpercentage tests dat beschikbaar is via industriestandaard testsuites:
    • 90% vanaf Webplatformtests
    • en 80% van Test262
  • Voldoe aan de bovenstaande vereisten voor het testpakket als Just in Time (JIT)-compilatie niet beschikbaar is (bijvoorbeeld als de Lockdown-modus is ingeschakeld door de gebruiker)
• U en uw app moeten aan de volgende beveiligingseisen voldoen:
  • Zorg voor veilige ontwikkelingsprocessen, inclusief het monitoren van de softwaretoeleveringsketen van uw app op kwetsbaarheden en het volgen van best practices rond veilige softwareontwikkeling (zoals het uitvoeren van bedreigingsmodellering op nieuwe functies die in ontwikkeling zijn).
  • Geef een URL op naar een gepubliceerd beleid inzake de openbaarmaking van kwetsbaarheden, met daarin contactgegevens voor het aan u melden van beveiligingskwetsbaarheden en -problemen door derden (waaronder mogelijk Apple), welke informatie in een rapport moet worden verstrekt en wanneer u statusupdates kunt verwachten.
  • Zorg ervoor dat u de kwetsbaarheden die worden uitgebuit in uw app of de alternatieve webbrowser-engine die deze gebruikt, tijdig vermindert (bijvoorbeeld 30 dagen voor de eenvoudigste klassen van kwetsbaarheden die actief worden uitgebuit).
  • Geef een URL op naar een openbaar beschikbare webpagina (of pagina's) die informatie biedt over welke gemelde kwetsbaarheden zijn opgelost in specifieke versies van de browserengine en de bijbehorende app-versie, indien verschillend
  • Als uw alternatieve webbrowser-engine een rootcertificaatarchief gebruikt dat niet toegankelijk is via de iOS SDK, moet u het rootcertificaatbeleid openbaar toegankelijk maken en moet de eigenaar van dat beleid als browser deelnemen aan het certificeringsinstantie/browserforum.
  • Demonstreer ondersteuning voor moderne Transport Layer Security-protocollen om data-in-transit-communicatie te beschermen wanneer de browser-engine in gebruik is.

Beveiligingsvereisten voor programma's

U moet het volgende doen:

• Gebruik minimaal geheugenveilige programmeertalen, of functies die de geheugenveiligheid in andere talen verbeteren, binnen de alternatieve webbrowser-engine voor alle code die webinhoud verwerkt;
• Pas de nieuwste beveiligingsmaatregelen toe (bijvoorbeeld Pointer Authentication Codes) die soorten kwetsbaarheden verwijderen of het veel moeilijker maken om een ​​exploitketen te ontwikkelen;
• Volg de best practices voor veilig ontwerp en veilige codering;
• Gebruik processcheiding om de effecten van uitbuiting te beperken en inter-procescommunicatie (IPC) te valideren binnen de alternatieve webbrowser-engine;
• Controleer op kwetsbaarheden in softwareafhankelijkheden van derden en in de bredere softwaretoeleveringsketen van uw app, en migreer naar nieuwere versies als een kwetsbaarheid gevolgen heeft voor uw app;
• Geen frameworks of softwarebibliotheken gebruiken die niet langer beveiligingsupdates ontvangen als reactie op kwetsbaarheden; En
• Geef prioriteit aan het snel oplossen van gemelde kwetsbaarheden boven de ontwikkeling van nieuwe functies. Wanneer de alternatieve webbrowser-engine bijvoorbeeld mogelijkheden overbrugt tussen de SDK van het platform en de webinhoud om web-API's in te schakelen, moet u op verzoek de ondersteuning voor een dergelijke web-API verwijderen als wordt vastgesteld dat deze een kwetsbaarheid vertoont. De meeste kwetsbaarheden zouden binnen 30 dagen opgelost moeten zijn, maar sommige kunnen complexer zijn en langer duren.

Privacyvereisten voor programma's

U moet het volgende doen:

• Cross-site cookies (dat wil zeggen cookies van derden) standaard blokkeren, tenzij de gebruiker er uitdrukkelijk voor kiest om dergelijke cookies toe te staan ​​met geïnformeerde toestemming;
• Partitioneer elke opslag of staat die waarneembaar is voor websites per website op het hoogste niveau, of blokkeer dergelijke opslag of staat voor gebruik en waarneembaarheid tussen sites;
• Synchroniseer cookies en status niet tussen de browser en andere apps, zelfs niet met andere apps van de ontwikkelaar;
• Geen apparaat-ID's delen met websites zonder geïnformeerde toestemming en gebruikersactivatie;
• Label netwerkverbindingen met behulp van de meegeleverde API's om een ​​app-privacyrapport op iOS te genereren; En
• Volg algemeen aanvaarde webstandaarden over wanneer geïnformeerde gebruikersactivatie vereist is voor web-API's (bijvoorbeeld toegang tot het klembord of volledig scherm), inclusief de API's die toegang bieden tot PII.

Apple zal geautoriseerde ontwikkelaars van speciale browser-apps ook toegang bieden tot beveiligingsmaatregelen en mogelijkheden om hen in staat te stellen veilige browser-engines te bouwen, en toegang te krijgen tot functies zoals toegangscodes voor veilig inloggen door gebruikers, systeemmogelijkheden met meerdere processen om de veiligheid en stabiliteit te verbeteren, sandboxes voor webinhoud die evoluerende ontwikkelingen tegengaan veiligheidsbedreigingen, en meer.

Naast het toestaan ​​van browserengines van derden, zal Apple een nieuw keuzescherm weergeven waarin gebruikers een standaardwebbrowser kunnen kiezen uit een lijst met opties. Wanneer gebruikers in de EU Safari voor het eerst openen op iOS 3, wordt hen gevraagd hun standaardbrowser te kiezen.