Apple va permite motoarele de browser terță parte, cum ar fi Chromium, în UE

Pentru a respecta viitorul act DMA din UE, Apple astăzi a anunțat modificări majore ale politicilor din App Store.

În primul rând, dezvoltatorii de aplicații vor putea folosi motoare alternative de browser. Până acum, chiar și browserele web terțe de pe iOS foloseau propriul WebKit al Apple. Odată cu această nouă schimbare, motoarele de browser alternative, cum ar fi Chromium, pot fi folosite pentru aplicații dedicate de browser și pentru aplicații care oferă experiențe de navigare în aplicație în UE.

Cu toate acestea, Apple va autoriza dezvoltatorii să implementeze motoare alternative de browser numai după ce îndeplinesc anumite criterii și se angajează să respecte o serie de cerințe permanente de confidențialitate și securitate, inclusiv actualizări de securitate în timp util pentru a aborda amenințările și vulnerabilitățile emergente. Citiți mai jos despre cerințele Apple pentru motoarele de browser terță parte.

Pentru a se califica pentru acest drept, aplicația dvs. trebuie:

• Să fie disponibil doar pe iOS în Uniunea Europeană
• Fiți un binar separat de orice aplicație care utilizează motorul de browser web furnizat de sistem
• Au implicit dreptul de browser web
• Îndepliniți următoarele cerințe funcționale pentru a vă asigura că aplicația dvs. utilizează un motor de browser web care oferă o bază de funcționalitate web:
  • Treceți un procent minim de teste disponibile din suitele de teste standard din industrie:
    • 90% din Teste platforme web
    • iar 80% din Test262
  • Îndepliniți cerința de suită de teste de mai sus dacă compilarea Just in Time (JIT) nu este disponibilă (de exemplu, dacă modul de blocare este activat de utilizator)
• Dvs. și aplicația dvs. trebuie să îndepliniți următoarele cerințe de securitate:
  • Angajați-vă să securizați procesele de dezvoltare, inclusiv monitorizarea lanțului de aprovizionare cu software al aplicației dvs. pentru vulnerabilități și respectarea celor mai bune practici privind dezvoltarea securizată a software-ului (cum ar fi realizarea de modelare a amenințărilor asupra noilor funcții în curs de dezvoltare).
  • Furnizați o adresă URL către o politică publicată de divulgare a vulnerabilităților care include informații de contact pentru raportarea vulnerabilităților și problemelor de securitate către dvs. de către terți (care poate include Apple), ce informații să furnizați într-un raport și când să vă așteptați la actualizări de stare.
  • Angajați-vă să reduceți în timp util vulnerabilitățile care sunt exploatate în aplicația dvs. sau în motorul de browser web alternativ pe care îl folosește (de exemplu, 30 de zile pentru cele mai simple clase de vulnerabilități exploatate în mod activ).
  • Furnizați o adresă URL către o pagină web (sau pagini) disponibile public, care oferă informații despre vulnerabilitățile raportate care au fost rezolvate în anumite versiuni ale motorului de browser și versiunea aplicației asociată, dacă este diferită
  • Dacă motorul dvs. alternativ de browser web utilizează un depozit de certificate rădăcină care nu este accesat prin intermediul SDK-ului iOS, trebuie să faceți politica de certificat rădăcină accesibilă publicului, iar proprietarul politicii respective trebuie să participe ca browser la Autoritatea de certificare/Forumul browser.
  • Demonstrați suport pentru protocoalele moderne Transport Layer Security pentru a proteja comunicațiile de date în tranzit atunci când motorul browserului este în uz.

Cerințele de securitate ale programului

Trebuie să faceți următoarele:

• Utilizați limbaje de programare sigure pentru memorie sau caracteristici care îmbunătățesc siguranța memoriei în alte limbi, în cadrul motorului de browser web alternativ, cel puțin pentru tot codul care procesează conținut web;
• Adoptă cele mai recente măsuri de reducere a securității (de exemplu, codurile de autentificare cu pointer) care elimină clase de vulnerabilități sau fac mult mai dificilă dezvoltarea unui lanț de exploatare;
• Urmați designul securizat și codarea securizată, cele mai bune practici;
• Utilizați separarea proceselor pentru a limita efectele exploatării și pentru a valida comunicarea între procese (IPC) în cadrul motorului de browser web alternativ;
• Monitorizați vulnerabilitățile din orice dependențe de software terță parte și lanțul mai larg de aprovizionare cu software al aplicației dvs., migrând la versiuni mai noi dacă o vulnerabilitate afectează aplicația dvs.;
• Nu utilizați cadre sau biblioteci software care nu mai primesc actualizări de securitate ca răspuns la vulnerabilități; și
• Prioritizează rezolvarea vulnerabilităților raportate cu rapiditate, față de dezvoltarea de noi funcții. De exemplu, în cazul în care motorul de browser web alternativ face legături între SDK-ul platformei și conținutul web pentru a activa API-urile web, la cerere, trebuie să eliminați suportul pentru un astfel de API web dacă este identificat că prezintă o vulnerabilitate. Majoritatea vulnerabilităților ar trebui rezolvate în 30 de zile, dar unele pot fi mai complexe și pot dura mai mult.

Cerințele de confidențialitate ale programului

Trebuie să faceți următoarele:

• Blocați cookie-urile între site-uri (adică cookie-uri terță parte) în mod implicit, cu excepția cazului în care utilizatorul optează în mod expres pentru a permite astfel de cookie-uri cu consimțământ informat;
• Partiționați orice stocare sau stare observabilă de site-uri web pe site-ul de nivel superior sau blocați astfel de stocare sau stare de la utilizarea și observabilitatea pe mai multe site-uri;
• Nu sincronizați cookie-urile și starea dintre browser și orice alte aplicații, chiar și alte aplicații ale dezvoltatorului;
• Nu partajați identificatorii dispozitivului cu site-urile web fără consimțământul informat și activarea utilizatorului;
• Etichetați conexiunile de rețea folosind API-urile furnizate pentru a genera un Raport de confidențialitate a aplicației pe iOS; și
• Urmați standardele web adoptate în mod obișnuit cu privire la momentul în care să solicitați activarea informată a utilizatorului pentru API-urile web (de exemplu, clipboard sau acces pe ecran complet), inclusiv cele care oferă acces la PII.

De asemenea, Apple va oferi dezvoltatorilor autorizați de aplicații dedicate browser acces la atenuări și capacități de securitate pentru a le permite să creeze motoare de browser securizate și să acceseze funcții precum chei de acces pentru autentificarea sigură a utilizatorilor, capabilități ale sistemului multiproces pentru a îmbunătăți securitatea și stabilitatea, casetele de testare a conținutului web care combate evoluția amenințări de securitate și multe altele.

Pe lângă faptul că permite motoarele de browser terță parte, Apple va afișa un nou ecran de alegere în care utilizatorii pot alege un browser web implicit dintr-o listă de opțiuni. Când utilizatorii din UE deschid pentru prima dată Safari pe iOS 3, li se va solicita să aleagă browserul implicit.