Apple cho phép các công cụ trình duyệt của bên thứ 3 như Chrome ở EU

Để tuân thủ đạo luật DMA sắp tới tại EU, Apple hôm nay công bố những thay đổi lớn đối với chính sách của App Store.

Đầu tiên, các nhà phát triển ứng dụng sẽ có thể sử dụng các công cụ trình duyệt thay thế. Cho đến nay, ngay cả các trình duyệt web của bên thứ 3 trên iOS cũng đang sử dụng WebKit của chính Apple. Với thay đổi mới này, các công cụ trình duyệt thay thế như Chrome có thể được sử dụng cho các ứng dụng trình duyệt chuyên dụng và ứng dụng cung cấp trải nghiệm duyệt web trong ứng dụng ở EU.

Tuy nhiên, Apple sẽ chỉ ủy quyền cho các nhà phát triển triển khai các công cụ trình duyệt thay thế sau khi đáp ứng các tiêu chí cụ thể và cam kết thực hiện một số yêu cầu liên tục về quyền riêng tư và bảo mật, bao gồm các bản cập nhật bảo mật kịp thời để giải quyết các mối đe dọa và lỗ hổng mới nổi. Đọc về các yêu cầu của Apple đối với công cụ trình duyệt của bên thứ 3 bên dưới.

Để đủ điều kiện nhận quyền, ứng dụng của bạn phải:

• Chỉ khả dụng trên iOS ở Liên minh Châu Âu
• Là một tệp nhị phân riêng biệt với bất kỳ ứng dụng nào sử dụng công cụ trình duyệt web do hệ thống cung cấp
• Có mặc định quyền trình duyệt web
• Đáp ứng các yêu cầu chức năng sau để đảm bảo ứng dụng của bạn đang sử dụng công cụ trình duyệt web cung cấp chức năng web cơ bản:
  • Vượt qua tỷ lệ phần trăm tối thiểu của các bài kiểm tra có sẵn từ bộ kiểm tra tiêu chuẩn ngành:
    • 90% từ Kiểm tra nền tảng web
    • và 80% từ Test262
  • Đáp ứng yêu cầu về bộ thử nghiệm ở trên nếu quá trình biên dịch Just in Time (JIT) không khả dụng (ví dụ: nếu Người dùng bật Chế độ khóa)
• Bạn và ứng dụng của bạn phải đáp ứng các yêu cầu bảo mật sau:
  • Cam kết đảm bảo an toàn cho các quy trình phát triển, bao gồm giám sát chuỗi cung ứng phần mềm của ứng dụng để tìm lỗ hổng và tuân theo các phương pháp hay nhất về phát triển phần mềm an toàn (chẳng hạn như thực hiện lập mô hình mối đe dọa đối với các tính năng mới đang được phát triển).
  • Cung cấp URL tới chính sách tiết lộ lỗ hổng bảo mật đã công bố, bao gồm thông tin liên hệ để bên thứ ba báo cáo các lỗ hổng bảo mật và sự cố cho bạn (có thể bao gồm cả Apple), thông tin nào cần cung cấp trong báo cáo và thời điểm dự kiến ​​cập nhật trạng thái.
  • Cam kết giảm thiểu kịp thời các lỗ hổng đang bị khai thác trong ứng dụng của bạn hoặc công cụ trình duyệt web thay thế mà ứng dụng đó đang sử dụng (ví dụ: 30 ngày đối với các loại lỗ hổng đơn giản nhất đang được tích cực khai thác).
  • Cung cấp URL tới một trang web (hoặc các trang) có sẵn công khai cung cấp thông tin về các lỗ hổng được báo cáo đã được giải quyết trong các phiên bản cụ thể của công cụ trình duyệt và phiên bản ứng dụng liên quan nếu khác
  • Nếu công cụ trình duyệt web thay thế của bạn sử dụng kho chứng chỉ gốc không được truy cập qua SDK iOS, bạn phải đặt chính sách chứng chỉ gốc có thể truy cập công khai và chủ sở hữu chính sách đó phải tham gia với tư cách là trình duyệt trong Cơ quan chứng nhận/Diễn đàn trình duyệt.
  • Thể hiện sự hỗ trợ cho các giao thức Bảo mật lớp vận chuyển hiện đại để bảo vệ thông tin liên lạc trong quá trình truyền dữ liệu khi sử dụng công cụ trình duyệt.

Yêu cầu bảo mật chương trình

Bạn phải làm như sau:

• Sử dụng các ngôn ngữ lập trình an toàn cho bộ nhớ hoặc các tính năng cải thiện an toàn bộ nhớ trong các ngôn ngữ khác, trong công cụ trình duyệt web thay thế ở mức tối thiểu cho tất cả các mã xử lý nội dung web;
• Áp dụng các biện pháp giảm thiểu bảo mật mới nhất (ví dụ: Mã xác thực con trỏ) để loại bỏ các lớp lỗ hổng hoặc khiến việc phát triển chuỗi khai thác trở nên khó khăn hơn nhiều;
• Tuân theo thiết kế an toàn và mã hóa an toàn, các phương pháp hay nhất;
• Sử dụng tính năng phân tách quy trình để hạn chế tác động của việc khai thác và xác thực giao tiếp giữa các quy trình (IPC) trong công cụ trình duyệt web thay thế;
• Giám sát các lỗ hổng trong mọi phần mềm phụ thuộc của bên thứ ba và chuỗi cung ứng phần mềm rộng hơn của ứng dụng của bạn, chuyển sang các phiên bản mới hơn nếu lỗ hổng ảnh hưởng đến ứng dụng của bạn;
• Không sử dụng các framework hoặc thư viện phần mềm không còn nhận được bản cập nhật bảo mật để khắc phục các lỗ hổng bảo mật; Và
• Ưu tiên giải quyết các lỗ hổng được báo cáo một cách nhanh chóng hơn là phát triển tính năng mới. Ví dụ: khi công cụ trình duyệt web thay thế kết nối các khả năng giữa SDK của nền tảng và nội dung web để kích hoạt API Web, thì theo yêu cầu, bạn phải xóa hỗ trợ cho API Web đó nếu API đó được xác định là có lỗ hổng bảo mật. Hầu hết các lỗ hổng sẽ được giải quyết trong 30 ngày, nhưng một số lỗ hổng có thể phức tạp hơn và có thể mất nhiều thời gian hơn.

Yêu cầu về quyền riêng tư của chương trình

Bạn phải làm như sau:

• Chặn cookie giữa các trang web (tức là cookie của bên thứ ba) theo mặc định trừ khi người dùng chọn rõ ràng cho phép các cookie đó với sự đồng ý rõ ràng;
• Phân vùng bất kỳ bộ nhớ hoặc trạng thái nào mà các trang web có thể quan sát được trên mỗi trang web cấp cao nhất hoặc chặn bộ nhớ hoặc trạng thái đó khỏi việc sử dụng và khả năng quan sát trên nhiều trang web;
• Không đồng bộ cookie và trạng thái giữa trình duyệt với bất kỳ ứng dụng nào khác, kể cả ứng dụng khác của nhà phát triển;
• Không chia sẻ số nhận dạng thiết bị với các trang web mà không có sự đồng ý rõ ràng và kích hoạt của người dùng;
• Gắn nhãn các kết nối mạng bằng cách sử dụng các API được cung cấp để tạo Báo cáo về quyền riêng tư của ứng dụng trên iOS; Và
• Tuân theo các tiêu chuẩn web thường được áp dụng về thời điểm yêu cầu người dùng kích hoạt các API web (ví dụ: bảng nhớ tạm hoặc quyền truy cập toàn màn hình), bao gồm cả các API cung cấp quyền truy cập vào PII.

Apple cũng sẽ cung cấp cho các nhà phát triển được ủy quyền của các ứng dụng trình duyệt chuyên dụng quyền truy cập vào các khả năng và giảm thiểu bảo mật để cho phép họ xây dựng các công cụ trình duyệt an toàn và truy cập các tính năng như mật mã để đăng nhập người dùng an toàn, khả năng của hệ thống đa xử lý để cải thiện tính bảo mật và tính ổn định, hộp cát nội dung web chống lại sự phát triển các mối đe dọa an ninh, và nhiều hơn nữa.

Ngoài việc cho phép các công cụ trình duyệt của bên thứ 3, Apple sẽ hiển thị màn hình lựa chọn mới nơi người dùng có thể chọn trình duyệt web mặc định từ danh sách tùy chọn. Khi người dùng ở Liên minh Châu Âu mở Safari lần đầu trên iOS 17.4, họ sẽ được nhắc chọn trình duyệt mặc định.