Molly (fork do Signal) não é atualizada há 3 meses e está vulnerável

Artigo original ↗ Discussão no Hacker News ↗

As preocupações estão crescendo de que o Molly, um fork do Signal voltado para privacidade, está sem manutenção há meses e agora perde correções críticas de segurança, incluindo uma vulnerabilidade recente relacionada a chamadas. Os comentaristas ponderam os riscos de depender de clientes de terceiros desatualizados versus usar o app oficial do Signal, que adicionou recursos muito pedidos, como suporte a múltiplos dispositivos, mas é criticado por centralização, caminhos obrigatórios de registro com número de telefone e dependência de serviços do Google para notificações push eficientes. A discussão se amplia para um debate sobre os trade-offs entre pragmatismo em segurança estrita e liberdade do usuário, com alguns apontando alternativas como Matrix, XMPP, SimpleX ou forks personalizados, enquanto outros argumentam que o ecossistema rigidamente controlado do Signal é o que o torna prático e seguro para usuários não técnicos.

Signal vs. Molly: Atualizações e Vulnerabilidades

  • Molly (fork do Signal) não acompanhou o upstream por meses e agora está sem correções importantes de segurança (por exemplo, bug de encerramento de chamada / bug do “hot mic”, blacklist de TLS).
  • Alguns usuários estão migrando para fora do Molly; uma pessoa oferece um fork temporário (“Polly”) que seleciona por cherry-pick correções de segurança importantes, mas é apenas para Android 14+/arm64.
  • O Signal em si tem pelo menos uma CVE recente (o fluxo de chamadas pode continuar brevemente após encerrar), vista como séria, mas mais limitada do que, por exemplo, o comprometimento do chat.

APK do Signal, Atualizações e Uso de Bateria

  • Instalar o Signal a partir do site do APK dá suporte a atualizações via notificações no aplicativo, mas não totalmente automático para todos; o comportamento depende do sistema operacional/permissões (por exemplo, o GrapheneOS exige permissão de instalação).
  • Vários relatam ter de baixar manualmente o APK a cada atualização.
  • Sem Google Play Services, o Signal usa um websocket persistente. Alguns dizem que o gasto de bateria é “extremo”, outros relatam autonomia aceitável de vários dias em ROMs sem Google.

Multi-dispositivo e Casos de Uso que Antes Eram Atendidos pelo Molly

  • O Signal agora suporta vincular iPhones e telefones Android adicionais como dispositivos secundários; isso remove uma vantagem-chave do Molly para muitos.
  • Ainda há limitações:
    • Dispositivos vinculados não são primários; o dispositivo original precisa permanecer ativo.
    • Dispositivos vinculados se desvinculam automaticamente e perdem histórico antigo após alguma inatividade.
    • Há alguma confusão sobre suporte a tablets Android; comentários mais novos dizem que agora é suportado.
  • Usuários que precisam de duas contas do Signal em um único telefone recorrem a perfis de trabalho, Secure Folder da Samsung, Private Space, Beeper ou soluções semelhantes.

Centralização, Identidade e “Vendor Lock‑In”

  • Há um forte debate sobre o modelo centralizado do Signal, a identidade baseada em número de telefone (e agora, às vezes, em pagamento) e a não federação em comparação com XMPP, Matrix, SimpleX etc.
  • Críticos chamam isso de vendor lock‑in e argumentam que spam e abuso poderiam ser tratados com tokens de convite em vez de números de telefone.
  • Defensores enfatizam:
    • A centralização permite implantações rápidas e consistentes de segurança e recursos.
    • O registro por número de telefone e outras fricções desestimulam fortemente spam em escala.
    • Sistemas descentralizados deslocam a complexidade, a descoberta e a mitigação de abuso para os usuários e muitos pequenos operadores.

Atitude em Relação ao Uso “Não Normie” e Preocupações com FOSS

  • Reclamações de que o Signal negligencia usuários avançados:
    • Sem flavor oficial do F-Droid ou totalmente livre do Google.
    • Sem suporte ao UnifiedPush, apesar de funcionar bem no Molly.
    • Registro no Android historicamente forçando a permissão de leitura de SMS (sem entrada manual do código), visto por alguns como anti-privacidade.
  • Outros respondem que:
    • O público do F-Droid e similares é minúsculo em relação à base mainstream do Signal.
    • Manter alvos adicionais de build e caminhos sem GMS não é trivial para uma pequena organização sem fins lucrativos.
    • O Signal é projetado primeiro para “normies”; usuários avançados podem escolher outros projetos (Matrix, XMPP etc.).

Usabilidade, Controle de Dados e Confiabilidade

  • Relatos de degradação na qualidade e confiabilidade das chamadas (toques perdidos, baixa qualidade de vídeo), levando alguns a considerar o Matrix.
  • Críticas à remoção da integração com SMS pelo Signal, que anteriormente ajudava a integrar usuários não técnicos.
  • Usuários de iOS descrevem corrupção do banco de dados SQLite sem forma oficial de exportar/corrigir o banco devido ao sandboxing e à falta de ferramentas de exportação; backups mais ferramentas de terceiros são sugeridos, mas nem sempre são habilitados antes.
  • Alguns sentem que o Signal “odeia os usuários” por exclusões rígidas por inatividade e atritos de UX; outros relatam uso familiar estável por longos períodos e doam ativamente.

Clientes de Terceiros e Política

  • O código do Signal é open source, mas os termos historicamente proibiam clientes de terceiros de usar os servidores oficiais; o LibreSignal foi explicitamente solicitado a parar.
  • Hoje, ferramentas de pequena escala como signal-cli ou um cliente de desktop (Corvus) parecem ser toleradas, provavelmente porque o uso é muito pequeno.
  • Um comentarista faz uma alegação não comprovada sobre um backdoor governamental ligado a políticas anti-fork; outros exigem evidências e apontam para builds reproduzíveis do Android e a falta de comprovação.