Apple дозволить використовувати сторонні браузери, такі як Chromium, в ЄС

Щоб відповідати майбутньому закону DMA в ЄС, Apple сьогодні оголошений серйозні зміни в політиках App Store.

По-перше, розробники додатків зможуть використовувати альтернативні движки браузера. Досі навіть сторонні веб-браузери на iOS використовували власний WebKit від Apple. Завдяки цій новій зміні альтернативні механізми браузера, як-от Chromium, можна використовувати для спеціальних браузерних програм і програм, які забезпечують роботу в програмі в ЄС.

Однак Apple дозволятиме розробникам впроваджувати альтернативні движки браузера лише після того, як вони відповідатимуть певним критеріям і виконуватимуть низку постійних вимог щодо конфіденційності та безпеки, включаючи своєчасні оновлення безпеки для усунення нових загроз і вразливостей. Ознайомтеся з вимогами Apple до движків сторонніх браузерів нижче.

Щоб отримати право, ваша програма має:

• Бути доступним на iOS лише в Європейському Союзі
• Бути окремим двійковим файлом від будь-якої програми, яка використовує механізм веб-переглядача, наданий системою
• Мають за замовчуванням права веб-браузера
• Відповідайте наведеним нижче функціональним вимогам, щоб переконатися, що ваша програма використовує механізм веб-браузера, який забезпечує базові веб-функціональні можливості:
  • Пройдіть мінімальний відсоток тестів, доступних із галузевих стандартних наборів тестів:
    • 90% від Тести веб-платформи
    • і 80% від Test262
  • Виконайте наведену вище вимогу до набору тестів, якщо компіляція Just in Time (JIT) недоступна (наприклад, якщо користувач увімкнув режим блокування)
• Ви та ваша програма повинні відповідати таким вимогам безпеки:
  • Дотримуйтеся безпечних процесів розробки, зокрема відстежуйте ланцюжок постачання програмного забезпечення вашого додатка на наявність вразливостей і дотримуйтеся найкращих практик щодо безпечної розробки програмного забезпечення (наприклад, моделювання загроз для нових функцій, що розробляються).
  • Укажіть URL-адресу опублікованої політики розкриття вразливостей, яка включає контактну інформацію для звітів про вразливості та проблеми третіми сторонами (до яких може включати Apple), яку інформацію надати у звіті та коли очікувати оновлення статусу.
  • Взяти зобов’язання своєчасно пом’якшити вразливості, які використовуються у вашому додатку або альтернативному механізмі веб-браузера, який він використовує (наприклад, 30 днів для найпростіших класів уразливостей, які активно використовуються).
  • Укажіть URL-адресу загальнодоступної веб-сторінки (або сторінок), яка надає інформацію про те, які вразливості, про які повідомляється, усунено в певних версіях механізму веб-переглядача та версії пов’язаної програми, якщо вони відрізняються.
  • Якщо ваш альтернативний механізм веб-браузера використовує сховище кореневих сертифікатів, до якого немає доступу через iOS SDK, ви повинні зробити політику кореневих сертифікатів загальнодоступною, а власник цієї політики має брати участь як браузер у центрі сертифікації / форумі веб-переглядача.
  • Продемонструйте підтримку сучасних протоколів безпеки транспортного рівня для захисту даних під час передачі, коли використовується механізм браузера.

Вимоги до безпеки програми

Ви повинні зробити наступне:

• Використовуйте мови програмування, безпечні для використання пам’яті, або функції, які покращують безпеку пам’яті в інших мовах, у межах альтернативного механізму веб-браузера як мінімум для всього коду, який обробляє веб-вміст;
• Використовуйте найновіші засоби пом’якшення безпеки (наприклад, коди автентифікації вказівників), які усувають класи вразливостей або значно ускладнюють розробку ланцюга експлойтів;
• Дотримуйтесь найкращих практик безпечного дизайну та безпечного кодування;
• Використовуйте поділ процесів, щоб обмежити наслідки експлуатації та перевірити міжпроцесний зв’язок (IPC) у альтернативному механізмі веб-браузера;
• Відстежуйте наявність вразливостей у будь-яких залежностях стороннього програмного забезпечення та ширшому ланцюжку постачання програмного забезпечення вашого додатка, переходячи на новіші версії, якщо вразливість впливає на ваш додаток;
• Не використовувати фреймворки або бібліотеки програмного забезпечення, які більше не отримують оновлення безпеки у відповідь на вразливості; і
• Ставте пріоритет оперативнішому виправленню повідомлених вразливостей, а не розробці нових функцій. Наприклад, якщо альтернативний механізм веб-браузера з’єднує можливості між SDK платформи та веб-вмістом для ввімкнення веб-інтерфейсів API, за запитом ви повинні видалити підтримку такого веб-інтерфейсу інтерфейсу, якщо буде виявлено, що він представляє вразливість. Більшість вразливостей має бути усунено протягом 30 днів, але деякі можуть бути складнішими та можуть зайняти більше часу.

Вимоги до конфіденційності програми

Ви повинні зробити наступне:

• Блокувати міжсайтові файли cookie (тобто файли cookie третіх сторін) за замовчуванням, якщо користувач явно не вирішив дозволити такі файли cookie за інформованою згодою;
• Розділіть будь-яке сховище або стан, доступний веб-сайтам, на веб-сайт верхнього рівня або заблокуйте таке сховище або стан від міжсайтового використання та спостереження;
• Не синхронізувати файли cookie та стан між браузером і будь-якими іншими програмами, навіть іншими програмами розробника;
• Не повідомляти веб-сайтам ідентифікатори пристроїв без інформованої згоди та активації користувача;
• Позначайте мережеві підключення за допомогою наданих API для створення звіту про конфіденційність додатка на iOS; і
• Дотримуйтеся загальноприйнятих веб-стандартів щодо того, коли вимагати інформованої активації користувача для веб-API (наприклад, буфера обміну або повноекранного доступу), включно з тими, які надають доступ до ідентифікаційної інформації.

Apple також надасть авторизованим розробникам спеціалізованих браузерних програм доступ до засобів пом’якшення безпеки та можливостей, щоб вони могли створювати захищені механізми браузера, а також доступ до таких функцій, як ключі доступу для безпечного входу користувачів, можливості багатопроцесорної системи для підвищення безпеки та стабільності, пісочниці веб-вмісту, які борються з еволюцією. загрози безпеці тощо.

На додаток до дозволу сторонніх браузерів, Apple відобразить новий екран вибору, де користувачі зможуть вибрати веб-браузер за замовчуванням зі списку параметрів. Коли користувачі в ЄС вперше відкриють Safari на iOS 3, їм буде запропоновано вибрати браузер за умовчанням.