Molly (Signal fork) को 3 महीनों से अपडेट नहीं किया गया है और यह असुरक्षित है
चिंताएँ बढ़ रही हैं कि Molly, Signal messenger का एक लोकप्रिय privacy-focused fork, कई महीनों से unmaintained है और अब critical security fixes मिस कर रहा है, जिसमें एक हालिया call-related vulnerability भी शामिल है। Commenters पुराने third-party clients पर भरोसा करने के जोखिमों की तुलना official Signal app से करते हैं, जिसने multi-device support जैसी लंबे समय से माँगी जा रही सुविधाएँ जोड़ी हैं, लेकिन इसे centralization, mandatory phone-number registration paths, और efficient push notifications के लिए Google services पर निर्भरता को लेकर आलोचना झेलनी पड़ती है। यह बहस security pragmatism और user freedom के बीच trade-offs तक फैल जाती है, जहाँ कुछ लोग Matrix, XMPP, SimpleX, या custom forks जैसे alternatives की ओर इशारा करते हैं, जबकि अन्य तर्क देते हैं कि Signal का tightly controlled ecosystem ही उसे non-technical users के लिए व्यावहारिक और सुरक्षित बनाता है।
Signal बनाम Molly: अपडेट्स और कमजोरियाँ
- Molly (Signal fork) कई महीनों से upstream को ट्रैक नहीं कर रहा है और अब महत्वपूर्ण सुरक्षा सुधारों से वंचित है (जैसे call teardown / “hot mic” बग, TLS blacklist)।
- कुछ उपयोगकर्ता Molly से हट रहे हैं; एक व्यक्ति एक अस्थायी fork (“Polly”) पेश करता है जो प्रमुख सुरक्षा सुधारों को cherry-pick करता है, लेकिन यह केवल Android 14+/arm64 पर ही काम करता है।
- Signal में स्वयं भी कम-से-कम एक हालिया CVE है (call stream hangup के बाद थोड़ी देर तक जारी रह सकता है), जिसे गंभीर माना जा रहा है, लेकिन यह, उदाहरण के लिए, chat compromise जितना व्यापक नहीं है।
Signal APK, अपडेट्स, और बैटरी उपयोग
- Signal को उसके APK site से install करने पर in-app notifications के जरिए updates मिलते हैं, लेकिन यह सभी के लिए पूरी तरह automatic नहीं है; व्यवहार OS/permissions पर निर्भर करता है (जैसे GrapheneOS में install-permission की आवश्यकता होती है)।
- कई लोगों ने बताया कि हर update पर उन्हें APK manually re-download करना पड़ता है।
- Google Play Services के बिना, Signal एक persistent websocket का उपयोग करता है। कुछ लोग कहते हैं कि battery drain “extreme” है, जबकि अन्य de-Googled ROMs पर स्वीकार्य multi-day battery life की रिपोर्ट करते हैं।
Multi-Device और वे उपयोग-केस जिन्हें Molly पूरा करता था
- Signal अब अतिरिक्त iPhones और Android phones को secondary devices के रूप में link करने का समर्थन करता है; इससे कई लोगों के लिए Molly का एक बड़ा लाभ समाप्त हो गया है।
- फिर भी सीमाएँ बनी हुई हैं:
- Linked devices primary नहीं होते; मूल device को सक्रिय रहना चाहिए।
- Linked devices कुछ inactivity के बाद auto-unlink हो जाते हैं और पुराना history खो देते हैं।
- Android tablets के समर्थन को लेकर कुछ भ्रम है; नए comments कहते हैं कि अब यह supported है।
- एक ही phone पर दो Signal accounts की आवश्यकता वाले लोग work profiles, Samsung Secure Folder, Private Space, Beeper, या इसी तरह के workaround का सहारा लेते हैं।
Centralization, Identity, और “Vendor Lock-In”
- Signal के centralized model, phone-number (और अब कभी-कभी payment) आधारित identity, तथा non-federation बनाम XMPP, Matrix, SimpleX आदि पर तीखी बहस है।
- आलोचक इसे vendor lock-in कहते हैं और तर्क देते हैं कि spam और abuse को phone numbers के बजाय invite tokens से संभाला जा सकता है।
- समर्थक जोर देते हैं:
- Centralization त्वरित और सुसंगत security तथा feature rollouts संभव बनाती है।
- Phone-number registration और अन्य friction scale पर spam को काफी हद तक रोकते हैं।
- Decentralized systems जटिलता, discovery, और abuse mitigation को users तथा अनेक छोटे operators पर डाल देते हैं।
“Non-normie” उपयोग और FOSS चिंताओं के प्रति रवैया
- शिकायतें हैं कि Signal power users की अनदेखी करता है:
- कोई आधिकारिक F-Droid या पूरी तरह Google-free flavor नहीं।
- Molly में अच्छी तरह काम करने के बावजूद UnifiedPush support नहीं।
- Android पर registration historically SMS read permission को बाध्य करता था (manual code entry नहीं), जिसे कुछ लोग anti-privacy मानते हैं।
- दूसरे जवाब देते हैं कि:
- F-Droid और ऐसे अन्य audiences Signal के mainstream base की तुलना में बहुत छोटे हैं।
- अतिरिक्त build targets और non-GMS paths बनाए रखना एक छोटे nonprofit के लिए आसान नहीं है।
- Signal पहले “normies” के लिए बनाया गया है; advanced users अन्य projects (Matrix, XMPP, आदि) चुन सकते हैं।
Usability, Data Control, और Reliability
- call quality और reliability में गिरावट की रिपोर्टें (missed rings, low video quality) कुछ लोगों को Matrix पर विचार करने के लिए प्रेरित कर रही हैं।
- Signal द्वारा SMS integration हटाने की आलोचना भी हुई है, जो पहले non-technical users को onboard करने में मदद करती थी।
- iOS users SQLite DB corruption का वर्णन करते हैं, और sandboxing तथा export tools की कमी के कारण DB को export/fix करने का कोई official तरीका नहीं है; backups और third-party tools सुझाए जाते हैं, लेकिन वे पहले से हमेशा enabled नहीं होते।
- कुछ लोगों को लगता है कि Signal strict inactivity deletions और UX friction के जरिए “users से नफरत” करता है; जबकि अन्य लोग लंबे समय से smooth family use और सक्रिय दान की रिपोर्ट करते हैं।
Third-Party Clients और Policy
- Signal का code open source है, लेकिन terms historically third-party clients को official servers इस्तेमाल करने से रोकते थे; LibreSignal को स्पष्ट रूप से रुकने के लिए कहा गया था।
- आज, signal-cli या desktop client (Corvus) जैसे छोटे-scale tools को सहन किया जाता दिखता है, संभवतः क्योंकि उनका उपयोग बहुत कम है।
- एक commenter बिना प्रमाण के सरकारी backdoor का दावा करता है, जो anti-fork policies से जुड़ा है; अन्य लोग सबूत मांगते हैं और reproducible Android builds तथा प्रमाण के अभाव की ओर संकेत करते हैं।