Molly (fork de Signal) no se ha actualizado desde hace 3 meses y es vulnerable

Artículo original ↗ Discusión en Hacker News ↗

Crece la preocupación de que Molly, un popular fork de Signal centrado en la privacidad, lleve meses sin mantenimiento y ya no reciba correcciones de seguridad críticas, incluida una vulnerabilidad reciente relacionada con llamadas. Los comentaristas debaten los riesgos de depender de clientes de terceros desactualizados frente a usar la app oficial de Signal, que ha añadido funciones muy solicitadas como el soporte multidispositivo pero también es criticada por su centralización, el registro obligatorio basado en número de teléfono y la dependencia de servicios de Google para notificaciones push eficientes. El intercambio se amplía hacia un debate sobre los compromisos entre el pragmatismo de seguridad estricta y la libertad del usuario, con algunos señalando alternativas como Matrix, XMPP, SimpleX o forks personalizados, mientras otros argumentan que el ecosistema fuertemente controlado de Signal es lo que lo hace práctico y seguro para usuarios no técnicos.

Signal vs. Molly: actualizaciones y vulnerabilidades

  • Molly (fork de Signal) no ha seguido el upstream durante meses y ahora le faltan correcciones de seguridad importantes (p. ej., terminación de llamadas / error de “hot mic”, lista negra TLS).
  • Algunos usuarios se están alejando de Molly; una persona ofrece un fork temporal (“Polly”) que incorpora mediante cherry-pick correcciones clave de seguridad, pero solo para Android 14+/arm64.
  • Signal en sí tiene al menos una CVE reciente (el flujo de la llamada puede continuar brevemente después de colgar), considerada grave pero más limitada que, por ejemplo, comprometer el chat.

APK de Signal, actualizaciones y uso de batería

  • Instalar Signal desde su sitio de APK sí admite actualizaciones mediante notificaciones dentro de la app, pero no completamente automáticas para todos; el comportamiento depende del SO/permisos (por ejemplo, GrapheneOS requiere permiso de instalación).
  • Varios informan tener que volver a descargar manualmente el APK en cada actualización.
  • Sin Google Play Services, Signal usa un websocket persistente. Algunos dicen que el consumo de batería es “extremo”, otros reportan una autonomía aceptable de varios días en ROMs sin Google.

Multidispositivo y casos de uso que antes cubría Molly

  • Signal ahora admite vincular iPhones y teléfonos Android adicionales como dispositivos secundarios; esto elimina para muchos una ventaja clave de Molly.
  • Persisten limitaciones:
    • Los dispositivos vinculados no son primarios; el dispositivo original debe permanecer activo.
    • Los dispositivos vinculados se desvinculan automáticamente y pierden el historial anterior tras cierto tiempo de inactividad.
    • Hay cierta confusión sobre la compatibilidad con tablets Android; comentarios más recientes dicen que ahora sí está soportado.
  • Los usuarios que necesitan dos cuentas de Signal en un solo teléfono recurren a perfiles de trabajo, Samsung Secure Folder, Private Space, Beeper o soluciones similares.

Centralización, identidad y “vendor lock-in”

  • Fuerte debate sobre el modelo centralizado de Signal, la identidad basada en número de teléfono (y ahora a veces pagos) y la no federación frente a XMPP, Matrix, SimpleX, etc.
  • Los críticos lo llaman vendor lock-in y sostienen que el spam y el abuso podrían gestionarse con tokens de invitación en lugar de números de teléfono.
  • Los defensores enfatizan:
    • La centralización permite desplegar seguridad y funciones con rapidez y coherencia.
    • El registro con número de teléfono y otras fricciones disuaden significativamente el spam a gran escala.
    • Los sistemas descentralizados trasladan la complejidad, el descubrimiento y la mitigación del abuso a los usuarios y a muchos operadores pequeños.

Actitud hacia el uso “no normie” y preocupaciones FOSS

  • Quejas de que Signal descuida a los usuarios avanzados:
    • Sin versión oficial de F-Droid ni variante completamente libre de Google.
    • Sin soporte de UnifiedPush a pesar de funcionar bien en Molly.
    • El registro en Android históricamente obligaba al permiso de lectura de SMS (sin entrada manual del código), visto por algunos como anti-privacidad.
  • Otros responden que:
    • F-Droid y audiencias similares son diminutas en comparación con la base principal de Signal.
    • Mantener objetivos de compilación adicionales y rutas sin GMS no es trivial para una pequeña organización sin ánimo de lucro.
    • Signal está diseñado primero para “normies”; los usuarios avanzados pueden elegir otros proyectos (Matrix, XMPP, etc.).

Usabilidad, control de datos y fiabilidad

  • Informes de calidad de llamadas y fiabilidad degradadas (llamadas perdidas, baja calidad de vídeo) que llevan a algunos a considerar Matrix.
  • Críticas a la eliminación de la integración SMS de Signal, que antes ayudaba a incorporar a usuarios no técnicos.
  • Usuarios de iOS describen corrupción de la base de datos SQLite sin una forma oficial de exportar/arreglar la DB debido al sandboxing y a la falta de herramientas de exportación; se sugieren copias de seguridad y herramientas de terceros, pero no siempre están habilitadas de antemano.
  • Algunos sienten que Signal “odia a los usuarios” mediante borrados estrictos por inactividad y fricciones de UX; otros reportan un uso familiar fluido a largo plazo y donan activamente.

Clientes de terceros y política

  • El código de Signal es de código abierto, pero históricamente los términos prohibían a los clientes de terceros usar los servidores oficiales; se pidió explícitamente a LibreSignal que se detuviera.
  • Hoy, herramientas a pequeña escala como signal-cli o un cliente de escritorio (Corvus) parecen toleradas, probablemente porque su uso es diminuto.
  • Un comentarista afirma una acusación no probada sobre una puerta trasera gubernamental vinculada a políticas anti-fork; otros exigen pruebas y señalan compilaciones reproducibles de Android y la falta de sustento.