L'impact du Règlement européen sur les marchés numériques sur votre parc iOS

Qu’est-ce que le Règlement européen sur les marchés numériques ?

En 2022, l’Union européenne (UE) a introduit le Règlement sur les marchés numériques (Digital Markets Act ou DMA), un cadre réglementaire visant à garantir une concurrence loyale sur les marchés numériques. Il confère aux autorités le pouvoir de désigner certaines plateformes en ligne comme « Gatekeeper » et leur impose de prévenir les pratiques anticoncurrentielles. L’objectif est de créer des conditions de concurrence équitables et d’encourager l’innovation dans le secteur numérique.

En conséquence de ce règlement, Apple doit modifier son approche de plusieurs expériences utilisateur dans iOS.

• Apple va offrir aux développeurs d’applications tierces la possibilité de proposer des applications aux utilisateurs d’iOS en dehors de l’App Store officiel.
• Les développeurs pourront désormais créer et exploiter des navigateurs web reposant sur des moteurs alternatifs.
• Après le passage à iOS 17.4, l’utilisation d’iPhone verra une nouvelle invite la première fois qu’il lancera Safari. Cette invite lui permettra de choisir le navigateur par défaut de leur appareil.

Apple apporte des modifications importantes à la manière dont les utilisateurs européens d’iOS accèdent aux applications tierces, et ouvre la porte à de toutes nouvelles expériences de navigation sur le Web. Pour accompagner ces expériences, Apple va également mettre en place de nouvelles approches pour gérer la sécurité. Voici les principaux points à retenir.

Les utilisateurs ne pourront accéder aux boutiques d’applications alternatives que dans les pays de l’UE.

L’UE compte 27 pays membres, et l’utilisateur final doit être membre de l’un d’entre eux pour pouvoir accéder à ces boutiques. Si vous essayez d’accéder aux boutiques alternatives avec un appareil situé en dehors de l’UE et un identifiant Apple non européen, l’accès sera impossible.

Le Royaume-Uni n’est pas concerné par les changements introduits dans iOS 17.4.

Mon instance d’Apple Business Manager ou d’Apple School Manager est basée en dehors de l’UE. Dois-je comprendre que je ne suis pas concerné par ces changements ?

Pas nécessairement. Si certains de vos utilisateurs possèdent un identifiant Apple lié à un pays européen, ils pourront accéder à ces fonctionnalités. Les institutions d’enseignements et les entreprises implantées dans plusieurs pays ont tout intérêt à étudier attentivement les implications de ces changements.

Est-ce que iPadOS, tvOS, watchOS et visionOS sont également concernés ?

Ces changements ne concernent que iOS, plus précisément iOS 17.4 et les versions suivantes.

Que voit un utilisateur qui essaie de télécharger des applications sur des boutiques alternatives ?

Il devra visiter le site web des développeurs de la boutique. Ces développeurs se seront enregistrés auprès d’Apple pour être autorisés à déployer des applications tierces.

S’il souhaite télécharger une application, il devra approuver manuellement le développeur en choisissant « Autoriser la Marketplace » dans le menu Développeur de l’application Réglages. Les applications installées fonctionnent exactement comme celles de l’App Store. Elles sont protégées par une sandbox et doivent demander à l’utilisateur le droit d’accéder, par exemple, à l’appareil photo ou au micro.

Boutiques d’applications alternatives : sécurité et vie privée

Dans iOS 17.4, Apple introduit les boutiques d’applications alternatives, hébergées et gérées par des tiers en Europe. Ces boutiques permettront d’installer directement des applications sur l’iPhone à partir d’une source autre que l’App Store.

Apple a souligné plusieurs risques de sécurité découlant de ces changements sur son site web :

Si elle n’est pas correctement gérée, cette méthode alternative de distribution présente des risques accrus en matière de vie privée et de sécurité pour les utilisateurs et les développeurs. Ces risques peuvent être liés à l’installation de logiciels de développeurs inconnus, affranchis des exigences du programme Apple Developer. Un utilisateur peut aussi installer des logiciels piratés ou des logiciels qui compromettent l’intégrité du système par du code malveillant. Il peut être exposé à des contenus illicites, répréhensibles et nuisibles, en raison de normes plus laxistes concernant les contenus et la modération, et donc à des risques accrus d’escroqueries, de fraudes et d’abus. Apple n’aura pas toute latitude pour prendre ces risques en charge, assister les clients touchés ou les rembourser. Même avec des mesures de protection, une grande part de ces risques subsiste.

Certes, ces nouveautés créent de nouveaux vecteurs de risque et offrent des opportunités aux acteurs malveillants. Mais Apple fournira toujours un niveau de sécurité rigoureux pour encadrer les boutiques d’applications alternatives.

La notarisation arrive sur iOS.

La notarisation a toujours été un processus de sécurité exclusif à macOS. Les développeurs soumettent leurs applications à l’examen d’Apple. Si elles sont approuvées, Apple y appose une signature numérique : c’est ce qu’on appelle la notarisation.

La notarisation garantit que l’application n’a pas été modifiée ni altérée entre le moment de son examen et celui de son déploiement sur l’appareil d’un utilisateur final. C’est donc l’assurance qu’elle ne contient aucun code malveillant et une garantie de sécurité pour les utilisateurs qui la téléchargent et l’exécutent.

• La notarisation d’iOS est censée être plus stricte qu’elle ne l’a été pour macOS dans le passé. Les applications sont soumises à des examens automatisés et humains, Apple demande aux développeurs des informations supplémentaires et détaillées sur le fonctionnement de l’application et la transparence concernant les droits (par exemple, mon application provenant d’une boutique alternative utilise des données de localisation). Ces données permettent à Apple d’avoir une image claire du comportement de l’application.
• Toutes les applications disponibles sur des boutiques alternatives doivent être signées par Apple pour fonctionner sur un appareil iOS.
• Le développeur d’une application doit disposer d’un compte de développeur légitime auprès d’Apple. Ce processus de vérification vise en particulier à écarter le spam et les acteurs malveillants.
• Apple peut révoquer à tout moment les certificats des développeurs d’applications fournies sur les boutiques alternatives, ce qui a pour effet de les empêcher de se lancer sur iOS. Autrement dit, s’il s’avère que des applications de ce type contiennent du code malveillant ou des malfaçons, Apple peut encore intervenir pour protéger les utilisateurs.
• Les développeurs doivent également respecter les règles fixées par Apple concernant l’utilisation et les fonctionnalités des applications.

Moteurs de navigation web alternatifs : sécurité et confidentialité

Autre nouveauté introduite par iOS 17.4, les moteurs de navigation web alternatifs méritent la vigilance des administrateurs Jamf de l’UE.

Safari est le navigateur par défaut sur iOS depuis le lancement du premier iPhone en 2007. Vous pouvez depuis longtemps télécharger d’autres navigateurs sur l’App Store, mais tous reposent sur WebKit, le moteur open-source qu’Apple utilise pour Safari.

Apple va autoriser les développeurs tiers à proposer des navigateurs qui n’utilisent pas WebKit comme moteur. Cela ne pose pas de problème en soi, mais si vos utilisateurs choisissent d’utiliser un autre navigateur, tout leur trafic passera par une application tierce utilisant potentiellement du code propriétaire. Vous perdrez donc toute visibilité sur le traitement de vos données et devrez faire confiance aux développeurs de l’application.

Jusqu’ici, la plupart des administrateurs Jamf n’ont pas eu à se préoccuper de la gestion des expériences de navigation sur iOS. Mais vous devrez peut-être y accorder un peu d’attention pour maintenir la sécurité des appareils et protéger la vie privée des utilisateurs à l’avenir.

Comme pour la notarisation, Apple met en place de nouvelles mesures pour administrer ces expériences et offrir davantage de sécurité aux utilisateurs finaux :

• Les développeurs de moteurs de navigation alternatifs doivent s’engager à respecter un certain nombre d’exigences de confidentialité et de sécurité, et notamment apporter rapidement des mises à jour de sécurité pour faire face aux menaces et vulnérabilités émergentes.
• Les développeurs doivent s’abstenir d’utiliser des cadres ou des bibliothèques qui ne reçoivent plus de mises à jour de sécurité en cas de vulnérabilité.
• Ils doivent privilégier la correction des vulnérabilités au développement de nouvelles fonctionnalités et les livrer dans un délai raisonnable. Apple suggère un délai de 30 jours dans la plupart des cas.

Gestion et sécurité avec Jamf

Une chose à garder en tête : si ces changements sont nouveaux pour iOS, macOS a toujours autorisé les utilisateurs à installer des applications et des navigateurs tiers. Les nouveautés d’iOS 17.4 introduisent de nouveaux domaines de risque pour les déploiements d’iOS en Europe, mais elles ne font pas d’iOS une plateforme ouverte et non sécurisée.

Depuis de nombreuses années, Jamf aide ses clients à gérer et à sécuriser les appareils iOS dans les établissements d’enseignement et les entreprises, et nous continuerons sur cette voie avec iOS 17.4.

Gérer les applications de boutique alternatives

Jamf Pro, Jamf School et Jamf Now vous permettent de gérer et de bloquer ces changements en utilisant différentes commandes et restrictions qui seront mises à disposition des clients Jamf le jour de la sortie d’iOS 17.4.

Évolution des restrictions

allowMarketplaceAppInstallation (nouveau) : quand ce paramètre est réglé sur false, iOS empêche l’installation de boutiques alternatives depuis le Web et empêche les boutiques déjà installées de télécharger des logiciels.

allowAppInstallation (mis à jour) : quand ce paramètre est réglé sur false, iOS désactive l’App Store et supprime son icône sur l’écran d’accueil. Cela vaut également aux boutiques d’applications alternatives.

allowAppRemoval (mis à jour) : quand ce paramètre est réglé sur false, iOS interdit de supprimer les applications d’un appareil iOS, y compris celles qui proviennent de boutiques alternatives.

allowListedAppBundleIDs (mis à jour) : s’il est présent, il s’appliquera également aux applications de boutique alternatives et aux logiciels qu’elles hébergent.

blockedAppBundleIDs (mis à jour) : empêchera également l’utilisation des applications de boutique alternatives et des logiciels qu’elles hébergent.

Évolution des commandes

InstalledApplicationList inclut désormais un DistributorIdentifier pour les applications de boutique alternatives et les logiciels qu’elles hébergent. Sa valeur correspond à l’ID du distributeur de l’application.

InstallApplication ne peut pas être utilisée pour installer des applications de boutique alternative ni les logiciels qu’elles hébergent. Sur les appareils inscrits, cette commande permet d’assumer la gestion des applications de ce type qui sont déjà installées.

RemoveApplication peut être utilisée pour supprimer une application de boutique alternative gérée ou un logiciel hébergé sur une boutique.

Je n’utilise pas la dernière version de Jamf Pro. Que va-t-il se passer ?

Jamf héberge deux profils de configuration :

• Profil signé
• Profil non signé

Les liens ci-dessus vous présentent deux profils de configuration : l’un est signé par Jamf, l’autre ne l’est pas. Les fonctionnalités des deux profils sont identiques et un seul profil doit être déployé pour gérer le comportement dans votre environnement. Celui qui n’est pas signé peut être inspecté et modifié au besoin.

Les profils de configuration contiennent les paires clé/valeur nécessaires pour empêcher l’installation d’applications de boutique alternatives (allowMarketplaceAppInstallation). Téléchargez ces profils, puis importez le fichier signé ou non signé dans votre instance Jamf. Il vous suffit ensuite de l’appliquer à vos appareils iOS. N’oubliez pas qu’ils doivent fonctionner sous iOS 17.4.

Chez Jamf, nous sommes impatients de découvrir les possibilités offertes par ces nouveaux espaces, mais nous savons également que ces changements représentent un risque concret pour les utilisateurs. Pour des acteurs malveillants, ils offrent un moyen tentant d’accéder aux données confidentielles des utilisateurs et entreprises ou de diffuser des logiciels malveillants sur les appareils. Ces nouveautés introduisent des risques globaux pour les établissements d’enseignement et les entreprises d’Europe.

Si vous souhaitez discuter de ces implications plus en profondeur, contactez votre représentant Jamf qui se fera un plaisir de vous aider.