Сторонние магазины приложений приходят на iOS: готовимся к новым угрозам? | Блог Касперского

Что изменится в iOS в 2024 году и как пользоваться браузерами и магазином приложений на смартфонах Apple.

Все 17 лет существования iOS она была крепко огороженным садом. Приложения и функции попадали к пользователю только под жестким контролем Apple. Теперь под давлением рынка и регуляторов американская корпорация вынуждена менять статус-кво. С марта вступает в действие европейский закон Digital Markets Act (DMA), и в новой версии iOS 17.4 — и только для Евросоюза — появится возможность установить на iPhone дополнительные магазины приложений и альтернативные браузеры. Одновременно пропадут некоторые привычные функции, например мини-приложения, запускаемые в браузере и имеющие свой ярлык на домашнем экране (Progressive Web Apps). Какие возможности это принесет пользователям и какие угрозы несут изменения?

Как установить себе другой магазин приложений

Чтобы обеспечить честную конкуренцию, регуляторы обязали Apple допустить другие магазины приложений на iPhone. Пользователь сможет зайти на сайт альтернативного магазина, нажать кнопку установки и, явно подтвердив операционной системе свое намерение, установить этот новый магазин. Дальше им можно пользоваться вместо App Store или параллельно с ним.

Наполнение этих альтернативных магазинов и понимание того, кто вообще захочет открывать подобные магазины, пока неизвестно. Важно то, что эти магазины не обязаны соблюдать все указания Apple, поэтому в них ожидаются ранее запрещенные Apple сервисы и технологии (в первую очередь — оплата вне App Store). Весьма вероятно, что свой магазин захотят открыть Epic Games, которые наряду со Spotify были одним из основных лоббистов в тяжбах с Apple, хотя последняя серия мыльной оперы противостояния Apple и Epic Games намекает, что это случится еще нескоро.

Важно отметить, что Apple не допустит анархии, — чтобы стать магазином приложений, нужно пройти проверку в Apple и предоставить аккредитив на 1 миллион евро. Также не допускается загрузка разных версий приложения в App Store и альтернативные магазины — если разработчик хочет присутствовать везде, приложение должно быть идентичным. Ну и наконец, все приложения должны будут пройти «нотаризацию» в Apple. Этот процесс — если он окажется идентичен «нотаризации» в macOS, — вероятнее всего, будет не ручной проверкой, как в App Store, а автоматическим сканированием на вредоносное ПО и соблюдение некоторых технических рекомендаций Apple.

Последствия для безопасности. Вредоносное ПО будет появляться на iOS чаще. С одной стороны, установка сторонних приложений будет отчасти по-прежнему регламентироваться Apple — не получится, как в Android, просто нажать кнопку в настройках и установить неизвестное приложение с непонятного сайта. С другой стороны, систему автоматического сканирования, созданную инженерами в Купертино для сторонних магазинов приложений, обмануть будет даже проще, чем живых модераторов App Store. Поэтому количество и разнообразие вредоносного ПО на iOS, вероятно, возрастет.

Кроме явно вредоносного ПО Apple резонно указывает на более высокий риск появления приложений с мошенническим контентом и непрозрачными схемами сбора платежей. Подобные проблемы автоматическим сканированием выявить невозможно.

Увы, новые правила никак не помогут появлению на iOS антивирусных и защитных решений, работающих на уровне операционной системы и аналогичных таковым на Android, — нужная для этого функциональность по-прежнему недоступна в iOS. Поэтому мы рекомендуем серьезно относиться как к самому решению установить сторонний магазин приложений, так и к скачиванию из него. Если вы устанавливаете магазин от крупной фирмы и скачиваете знаменитую игру с десятками миллионов загрузок — скорее всего, проблем не будет. Но все рекомендации сохранять бдительность, которые мы ранее давали пользователям Android, становятся гораздо важнее для европейских пользователей iOS. Напомним, что общее число скачиваний зловредов из официального Google Play за прошлый год превысило 600 миллионов.

Последствия для конфиденциальности. Apple утверждает, что ограничения на слежку в приложениях будут соблюдаться и в программах, скачиваемых из сторонних магазинов. Правда, «карточка описания конфиденциальности», которую заполняют разработчики при загрузке своих изделий в App Store, может быть менее подробной или вовсе отсутствовать в других магазинах.

Последствия для родительского контроля. Хотя ограничения, например экранного времени, продолжат работать с любыми программами, в приложениях из альтернативных магазинов могут неверно работать или вообще отсутствовать ограничения на внутриигровые или семейные покупки и требующие подтверждения родителей запросы на покупку приложения.

Сторонние браузеры

«Альтернативные» браузеры были на iOS и раньше, но, по сути, они представляли собой лишь оболочки для единственного доступного на iOS механизма показа страниц («движка») WebKit, разработанного Apple. Теперь Apple будет допускать в iOS и другие движки — но только после специальной сертификации. Стоит отметить, что и на других платформах с разнообразием движков все довольно печально, — практически все «альтернативные» браузеры основаны на коде Chromium (движок Blink), поддерживаемом силами Google. Также на рынке заметен Gecko, применяемый в Mozilla Firefox, и на этом рыночное разнообразие, в общем-то, исчерпывается.

Ранее и Google, и Mozilla были замечены в подготовке к запуску Blink и Gecko на iOS, поэтому весьма вероятно, что полноценные Firefox и Chrome появятся в Евросоюзе в скором будущем. При первом запуске Safari (или открытии любой веб-страницы из приложения) пользователи в ЕС смогут выбрать себе браузер по умолчанию.

Последствия для безопасности. Они двоякие. Мы ожидаем улучшения безопасности в одних областях и ухудшения в других. К известным уязвимостям WebKit добавятся возможные дефекты в Firefox и Chrome, и неизвестно, насколько оперативно они будут фикситься в iOS-версиях этих приложений, хотя оба разработчика имеют прекрасную репутацию в части исправления уязвимостей. С другой стороны, уязвимости нулевого дня в ПО Apple, включая WebKit, всегда были основным вектором атак на iPhone со стороны шпионского ПО — как коммерческого, вроде Pegasus, так и целевого, вроде Triangulation. Сейчас разработчики этих атак на 100% уверены, какой браузер используют жертвы, — Safari/Webkit. Благодаря «альтернативщикам» разрабатывать и проводить подобные атаки станет сложнее, ведь придется учитывать все варианты браузеров.

Последствия для конфиденциальности. Зависят от выбранного альтернативного браузера. Если ориентироваться на аналогичные браузеры для Windows и macOS, то при переходе на Firefox конфиденциальность, скорее всего, улучшится или сохранится на том же уровне, что и у Safari, а вот при использовании Chrome может и снизиться — это возможно предположить на основе анализа доступных инструментов борьбы со слежкой в этих браузерах и их настроек по умолчанию.

Последствия для родительского контроля. Возможности по защите детей от нежелательного контента в альтернативных браузерах пока не ясны, но, скорее всего, контроль будет технически сложнее настроить. Поэтому его эффективность вызывает вопросы.

Заметная потеря

Европейские пользователи не только получат новые возможности, но и кое-что потеряют от введения DMA. Чтобы реализовать нужные функции для «альтернативных» браузеров, Apple полностью отказалась от поддержки в iOS для ЕС расширенных веб-приложений (PWA, progressive web apps). Хотя подобные аппы по сути представляют собой веб-страницы, они мало отличимы от полноценных приложений, поскольку могут сохранять контент на устройстве, отправлять пользователю оповещения и так далее. В виде PWA нередко создаются приложения интернет-магазинов, журналов, кафе и ресторанов. Все эти мини-приложения, которые можно было легко добавить на главный экран iPhone, больше не будут работать в ЕС после обновления iOS. Далеко не все компании, которые «завернули» свои приложения в PWA, успеют своевременно адаптироваться к этому изменению.

Будут ли доступны альтернативные браузеры и магазины вне Европы

Apple приложила большие усилия к тому, чтобы ввести все новшества только в регионе, где это предписано законом, то есть в Европейском союзе. Только пользователи, зарегистрированные в 27 странах — членах ЕС, получат все описанные обновления в iOS 17.4. Жителей других стран эти новшества не коснутся, поэтому просто включить голландский VPN или даже поехать в отпуск на Кипр будет недостаточно для получения этих обновлений на iOS. Кроме того, даже жители ЕС, покинувшие территорию Евросоюза более чем на 30 дней, лишатся возможности устанавливать обновления приложений из сторонних магазинов — для загрузки апдейтов им придется вернуться обратно на родину.

13.03.2024