- iOS 26.2 ve sonrasında, Japonya’daki kullanıcılara yönelik uygulamalar WebKit dışındaki tarayıcı motorlarını kullanabilecek; hem tam tarayıcı uygulamaları hem de gömülü tarayıcı motoru kullanan uygulamalar izin kapsamına giriyor
- Apple, onaylı geliştiricilere JIT derleme, çoklu süreç desteği gibi yüksek performanslı tarayıcı motorları geliştirmek için gerekli sistem teknolojilerine erişim sağlıyor
- Güvenlik riskleri nedeniyle Apple, yalnızca katı güvenlik ve gizlilik gerekliliklerini karşılayan ve sürekli güvenlik güncellemeleri sunmayı taahhüt eden geliştiricilere bu yetkiyi veriyor
- Hem tarayıcı uygulamaları hem de uygulama içi gezinme uygulamaları, test başarı oranı, bellek güvenliği, zafiyet müdahalesi, çerez engelleme politikası gibi ayrıntılı kriterleri karşılamak zorunda
- Bu adım, Japonya pazarında tarayıcı motoru seçeneğini genişletirken kullanıcı güvenliğini korumayı amaçlayan bir politika değişikliği olarak değerlendiriliyor
iOS 26.2'de alternatif tarayıcı motorlarına izin verilmesine genel bakış
- iOS 26.2 ve üzeri sürümlerde, Japonya’daki kullanıcılara yönelik olarak WebKit dışındaki tarayıcı motorlarının kullanımına izin veriliyor
- İzin verilen uygulamalar iki türe ayrılıyor:
- Özel tarayıcı uygulamaları (tam web tarama deneyimi sunan)
- Tarayıcı motoru yöneticisi tarafından sağlanan uygulama içi gezinme uygulamaları (gömülü motor kullanan)
- Apple, onaylı geliştiricilere JIT derleme, çoklu süreç desteği gibi temel sistem teknolojilerine erişim hakkı veriyor
- Tarayıcı motorları kötü amaçlı içeriklere ve hassas kullanıcı verilerine maruz kalabildiğinden, Apple yalnızca belirli ölçütleri karşılayan ve sürekli güvenlik yükümlülüklerini yerine getiren geliştiricileri onaylıyor
Web Browser Engine Entitlement (özel tarayıcı uygulamaları için)
- Bu yetki sayesinde alternatif tarayıcı motoru kullanan tarayıcı uygulamaları geliştirilebiliyor
- Başvuru öncesinde gerekliliklerin incelenmesi ve ardından Apple’a talep iletilmesi gerekiyor
- Teknik referans olarak BrowserEngineKit, BrowserEngineCore ve varsayılan tarayıcı ayarlama kılavuzu sunuluyor
Uygunluk koşulları
- Uygulama, yalnızca Japonya’daki iOS için dağıtılmalı ve sistem tarafından sağlanan motoru kullanan diğer uygulamalardan ayrı bir binary olarak yapılandırılmalı
- Default Browser Entitlement sahibi olunmalı
- İşlevsel gereklilikler:
- Web Platform Tests'te %90 ve üzeri, Test262'de %80 ve üzeri başarı
- JIT devre dışıyken de (ör. Lockdown Mode) aynı ölçütlerin karşılanması
Güvenlik gereklilikleri
- Güvenli yazılım geliştirme süreci benimsenmeli ve tedarik zinciri zafiyetleri izlenmeli
- Zafiyet açıklama politikası URL’si sağlanmalı ve üçüncü taraf bildirim kanalı bulunmalı
- 30 gün içinde zafiyet azaltma önlemi dahil hızlı müdahale yükümlülüğü
- Giderilmiş zafiyetlerin açıklandığı bir sayfa işletilmeli
- Kök sertifika politikasının açıklanması ve CA/Browser Forum katılımı
- Güncel TLS protokollerinin desteklenmesi zorunlu
Program güvenliği gereklilikleri
- Bellek güvenli diller veya güvenlik özellikleri kullanılmalı
- Pointer Authentication Codes(PAC) ve Memory Integrity Enforcement(MIE) gibi modern azaltım teknikleri uygulanmalı
- Süreç ayrıştırma ve IPC doğrulaması, zafiyetlerin öncelikli giderilmesi sağlanmalı
- Güvenlik güncellemeleri kesilmiş kütüphanelerin kullanımı yasak
Gizlilik gereklilikleri
- Üçüncü taraf çerezleri varsayılan olarak engellenmeli, yalnızca kullanıcı onayıyla izin verilmeli
- Site bazlı depolama ayrıştırması ve siteler arası erişim engeli uygulanmalı
- Uygulamalar arasında durum senkronizasyonu yasak, yalnızca açık kullanıcı izniyle mümkün
- Cihaz tanımlayıcılarının paylaşımı yasak, App Privacy Report etiketlemesi zorunlu
- PII erişim API'leri için kullanıcı etkinliği ve onayı gerekli
Embedded Browser Engine Entitlement (uygulama içi gezinme için)
- Uygulama içinde alternatif bir tarayıcı motoru gömülerek web içeriği gösterilebiliyor
- Uygulama içi gezinme, yalnızca web tarayıcısında erişilebilen içeriği göstermek amacıyla sınırlı
- Arayüzün ekranın büyük bölümünü kaplaması, varsayılan tarayıcıda aç düğmesi ve alan adı/URL gösterimi zorunlu
Uygunluk koşulları
- Başvuru sahibi, tarayıcı motorunun sorumlu yöneticisi (browser engine steward) olmalı
- Motorun işletim ve güvenlik müdahale sorumluluğunu doğrudan üstlenen kuruluş olmalı
- Bağımsız mimariye ve Web API desteğine sahip ayrı bir motor olmalı
Uygulama gereklilikleri
- Yalnızca Japonya’daki iOS için dağıtım, varsayılan tarayıcı yetkisine sahip olmama şartı
- Web Platform Tests'te %90, Test262'de %80 ve üzeri başarı
- JIT devre dışıyken de aynı ölçütlerin karşılanması
Güvenlik ve program gereklilikleri
- Güvenli geliştirme süreci, zafiyet açıklama politikası, 30 gün içinde müdahale, TLS desteği gibi koşullar özel tarayıcı uygulamalarıyla aynı
- Bellek güvenli dil kullanımı, modern güvenlik azaltım tekniklerinin uygulanması, zafiyetlerin öncelikli giderilmesi zorunlu
- Güvenlik güncellemeleri kesilmiş kütüphanelerin kullanımı yasak
Gizlilik gereklilikleri
- Üçüncü taraf çerez engelleme, site bazlı depolama ayrıştırması, cihaz tanımlayıcı paylaşımının yasaklanması
- App Privacy Report etiketlemesi ve PII erişiminde kullanıcı onayı gerekli
Ek gereklilikler
- Uygulama gönderiminde gömülü motorun adı ve sürümü belirtilmeli
- Motorun yeni sürümü yayımlandıktan sonra 15 gün içinde uygulama güncellemesi gönderilmeli
Geliştirici referansları ve güvenlik kılavuzu
- Secure SDLC: tehdit modelleme, kod denetimi, fuzzing testleri gibi güvenlik odaklı geliştirme öneriliyor
- Memory Safety: Swift’in yerleşik bellek güvenliği, C/C++ için
std::span, -fbounds-safety seçeneği gibi araçların kullanımı
- Vulnerability Management: CVE-ID tabanlı açık zafiyet yönetimi ve hızlı yama dağıtımı gerekli
- Network Security: iOS SDK içindeki Network framework ve SecTrust API kullanımı öneriliyor
- TLS 1.2, 1.3 desteği zorunlu; eski protokoller kullanıldığında kullanıcı uyarısı gerekli
İlgili belgeler ve ek sözleşmeler
- Embedded Browser Engine Entitlement Addendum for Apps in Japan
- Web Browser Engine Entitlement Addendum for Apps in Japan
3 yorum
Alay etmek için söylemiyorum ama Safari de o sayısız gereksinime güzelce... uyuyordur, değil mi?
Vay, bunun Japonya'da başlaması da şaşırtıcı. Böyle bir şeyin önce Avrupa ya da ABD'de olacağını sanırdım.
Hacker News yorumları
Apple'ın rakip tarayıcıları engelleyeceğini düşünmüyorum ama bunun olacağını biliyorum
iPhone'un fiilen Chrome/Chromium tekelini engelleyen son kale olduğunu düşünüyorum
Google bunu Microsoft gibi kaderine bırakmaz ama o ölçüde bir etki gücüne sahip olur
Sitelerin çoğunun yalnızca Chrome'da düzgün çalıştığı bir durum gerçekten istemiyorum
Sonuçta Apple'ın inadı, kasıtlı olmasa bile, bu akışı durduruyor
Chrome'un web'e hâkim olduğu yönündeki kaygının abartılı olduğunu düşünüyorum. Yeni API'ler ekleniyor diye her web sitesi bunları kullanacak değil
Firefox, IE'nin %95 pazar payına sahip olduğu dönemde bile web'i kurtarmıştı; neden şimdi tek bir Apple'a bağımlı olmamız gerektiğini anlamıyorum
Bu biraz öğrenilmiş çaresizlik gibi geliyor
Ayrıca mobil web'in kendisi giderek uygulama merkezli şekilde küçülüyor
Yapay zeka aramasının web aramasının yerini almaya çalıştığı bir akım da var; bu yüzden web'in etkisi daha da azalacak gibi görünüyor
Örneğin FaceTime Firefox'u desteklemediği için Edge kullandım, sonunda da Google Meet'e geçmek zorunda kaldım
Sorun, onların yenilik yapmayı bıraktığında başladı
ActiveX, Flash, Silverlight gibi teknolojiler güvenlik sorunları yaratarak web'i mahvetti ve sonunda IE hem geliştiriciler hem de kullanıcılar için cehenneme döndü
Bugünkü Mobile Safari'nin bu rolü devraldığını düşünüyorum
PC ve Android'de Firefox kullanıyorum ama mobilde Chromium tabanlı tarayıcıların daha iyi bir seçim olduğunu düşünüyorum
Japonya'nın yeni kurallarındaki “bellek güvenli diller kullanımı” şartı ilginçti
Ama Apple'ın kendisi bunu karşılıyor mu? WebKit C++ ile yazılmış durumda
“Bellek güvenliğini iyileştiren özellikler”in tam olarak ne anlama geldiği de belirsiz
Apple'ın bunu hâlâ dünya genelinde açmamış olması şaşırtıcı
Bir ülkede açıp başka bir ülkede engelleyen bir sistemi sürdürmek sonuçta karmaşa ve maliyete yol açacaktır
Çok uluslu şirketler için böyle karmaşık düzenlemelere uyum sağlamak günlük işlerden biri
Tarayıcı motoru kontrolü, gelirden çok kontrolü koruma meselesi gibi görünüyor
Japonya ile müzakereler AB'ye kıyasla daha iyi geçti ama yine de çok memnun değiller
Bu yüzden küresel ölçekte kolayca geri adım atmayacaktır
Apple, AB'de oluşturduğu üçüncü taraf tarayıcı motorlarına izin verme kurallarını Japonya'ya da aynen uyguluyor gibi görünüyor
Ama koşullar o kadar zahmetli ki pratikte AB'de bile alternatif motorlu bir tarayıcı hiç piyasaya çıkmadı
Uygulamanın tamamen ayrı bir ikili olarak hazırlanması gerektiğinden, Chrome gibi büyük tarayıcıların geçiş yapması zor
Japonya ve AB yasalarının küresel değişimi tetiklemesini umuyordum ama büyük şirketlerin ülke bazlı verimsizlikleri göğüsleyecek gücü var
Örneğin iPhone, konuma göre alternatif uygulama mağazalarına erişimi sınırlıyor
İlgili makale incelenebilir
Apple zaten iki ülkede bu açılır pencere yüzünden ceza aldı
“Tarayıcı motoru yöneticisi” şartına bakınca, fiilen yalnızca Google ve Mozilla'nın uygun olduğu anlaşılıyor
Microsoft bile Blink tabanlı olduğu için dışarıda kalıyor
Küçük motorların temel işlev şartlarını karşılaması zor; bu yüzden pratikte giriş imkânsız görünüyor
Artık iOS'ta gerçek Firefox + uBlock Origin kullanabilecek miyiz diye merak ediyorum
Karmaşık gereksinimler, sınırlı API'ler, giderilmeyen hatalar yüzünden geliştiriciler zorlanacaktır
Yalnızca Japonya pazarı için tam bir motor port etmeye yetecek hukuk ve geliştirme kaynağını yatıracak bir şirket çıkmaz gibi görünüyor
İlgili makale
Oldukça iyi
Şimdilik Safari için uBlock Origin Lite ya da başka reklam engelleyiciler kullanılabilir
Firefox'un da kendi izleme engelleme özelliği var
Apple ekosistemi açarsa tüketici dostu imajını kaybedeceğinden korkan insanları sık görüyorum
Ama “Apple kontrol etmezse kaos olur” mantığı sadece iki uç seçenek sunuyor
Apple'ın tam kontrolü ile kullanıcıyı tamamen kendi hâline bırakmak arasında bir orta nokta gerekli
Piyasa rekabetçi şekilde işlemiyorsa, düzenleme kullanıcıları ve geliştiricileri korumalı
Apple'ın donanımı kilitlemesi tehlikeli bir emsal ve diğer şirketlerin bunu kopyalamasından endişe ediyorum
Yeni özellikler ya da uygulamalar Apple izin vermezse var olamıyor
Dropbox, GDrive gibi hizmetler de Apple'ın hatalarla dolu arka ucuna uyum sağlamak zorunda kaldıkları için özellik kaybetti
Bu yapı normal değil
Apple'ın ayrı ikili gereksinimi fiilen yasa ihlali seviyesinde
Oturum durumunun paylaşılmasının yasaklanması, çerez engellemenin zorunlu tutulması gibi şeyler işletim sisteminin işi olmamalı
Hatta Apple'ın kendisi bile 30 gün içinde güvenlik yaması kuralına uymuyor
Apple'ın yalnızca belirli ülkelerde istisna uygulayabilmek için aşırı çaba göstermesi şaşırtıcı