Molly, el fork de Signal, lleva tres meses sin actualizarse y acumula vulnerabilidades ya corregidas en Signal

Alguien en ese hilo señala que cuando instalas el APK de Signal desde aquí [1] "no recibe actualizaciones", pero ese no es el caso. Signal se actualiza a sí mismo; recibes una notificación para actualizar. A menudo antes que en Play Store, probablemente debido a su reputación de retrasar actualizaciones aleatoriamente.

[1] https://signal.org/android/apk/

A veces tengo la sensación de que Signal odia a los usuarios que no son totalmente normies. Unified Push, que funciona a la perfección en Molly, podría implementarse fácilmente en el cliente normal. Igual que podrían ofrecer fácilmente una versión sin Google para F-Droid o simplemente para gente que no quiere saber nada de Google. Pero simplemente se niegan. Igual que tardaron años en introducir los apodos, y registrarse sin número de teléfono solo ha sido posible recientemente y solo a través de Google Play Store.

He sido usuario de Signal desde muy temprano, convertí a la mayor parte de mi familia y a bastantes amigos. Usé Molly para registrar mi segundo teléfono (acabo de descubrir que ahora puedo hacer eso con Signal, así que desinstalé Molly e instalé Signal). Tengo la impresión de que la experiencia de llamadas se ha degradado significativamente durante el último año, es decir, las llamadas simplemente no suenan en el otro extremo, a veces ni siquiera aparecen como llamadas perdidas, las videollamadas tienen muy baja calidad aunque ambos extremos estén en conexiones de alta calidad (y cambiar a otras apps da alta calidad). Justo ayer estaba en una cola dentro y un amigo estaba fuera. Ambos intentamos llamarnos pero la llamada solo daba tono sin sonar en el otro extremo. Se ha vuelto tan malo que ahora estoy considerando configurar mi propio servidor Matrix y pasarme a eso.

¿Alguien más experimenta lo mismo? Me he estado preguntando si podría haber sido yo usando Molly, así que probaré ahora después de volver a Signal para el segundo dispositivo.

Explica perfectamente por qué Signal no quiere clientes de terceros.

A los haters: no estoy diciendo que sea perfecto, en un mundo ideal podríamos tener clientes de terceros seguros. Solo digo que es pragmático: en nuestro mundo, no los tenemos.

Signal siempre ha sido un enfoque pragmático para la mensajería privada, y lo logró: ¡Signal literalmente puso el E2EE en el mapa!

Signal tiene un modelo de amenazas, y hacen la mejor app que pueden abordando ese modelo de amenazas. Lo que significa que no pueden aceptar clientes de terceros ni federación. No dicen "no puedes usar XMPP o SimpleX o Matrix por tu cuenta", solo dicen "ofrecemos esto, si te beneficia, úsalo gratis".

Aun así, hay una minoría muy vocal que aprovecha cada oportunidad que tienen para explicar lo "insensato" que es eso, y cómo "no pueden imaginar cómo alguien con algún tipo de inteligencia no se sentiría repugnado". Creo que es la misma postura que los que se quejan de que Android o GrapheneOS no dan acceso root ("incluso en la configuración avanzada"). El hecho es que si quieres acceso root en tu teléfono, deberías instalar un sistema que te dé acceso root, y no seleccionar un sistema que no lo hace y luego quejarte.

Signal es genial en lo que hace. Está bien querer algo más mientras reconoces que Signal es genial en lo que hace.

Vaya, qué oportuno, y qué fastidio. Justo ayer me preguntaba sobre esto, uso Signal en mi teléfono principal y Molly en un teléfono secundario.

Signal recibió una actualización ayer y cuando vi la notificación no pude recordar la última vez que Molly se actualizó...

Los desarrolladores de aplicaciones conectadas a la red, como comunidad, me han insensibilizado a esto. Son el niño que gritaba lobo. Actualizaciones obligatorias continuas en nombre de la seguridad. Haciéndote sentir culpable para que pienses que cada actualización es crítica debido a la "seguridad".

No me importa. Es una molestia, y no creo que las amenazas de las que advierten sean algo que merezca mi atención en el panorama de cosas que debería preocuparme en mi vida. Las anécdotas no ayudan. Para sobrecargar con otra analogía: la seguridad es un "piensa en los niños" o "punto final": es un cliché que termina el pensamiento, y no creo en las personas que lo usan.

La 501c3 incorporada llamada Signal es, en términos de TI, un proveedor. ¿No es así?

El software cliente de Signal es de código abierto y algunos de los clientes tienen compilaciones reproducibles. El software servidor de Signal es de código abierto, aunque tiene un historial de estar desactualizado por más de un año en algunos momentos. Otras implementaciones de este software servidor para uso en producción son raras.

Supongamos que configuras una instancia del software servidor de Signal y otros que conoces ejecutan también un cliente Signal algo modificado que podría acceder a esa instancia del software servidor de Signal.

Pero el espacio de nombres centralizado del servicio Signal alojado por la 501c3 incorporada llamada Signal no sería accesible a través de esa instancia de servidor, ¿verdad?

Y, como dicta el proveedor incorporado del espacio de nombres centralizado, y otras razones, en la práctica, este cliente tendría que ejecutarse como una pieza separada de software. "Otra app".

Esto es dependencia del proveedor.

El servicio alojado por la 501c3 llamada Signal parece ampliamente abierto pero es un espacio de nombres con permisos. Se requiere un número de seguimiento de ubicación física, también conocido como número de teléfono, o una tarjeta de crédito/débito para acceder al espacio de nombres. Esto es para esclavos. Los profanos.

Abre Signal en tu teléfono para mantener tu cuenta activa

Este proveedor es abusivo.

Y no creo que esto sea lo que Moxie quería.

Signal 501c3 es un servicio centralizado. XMPP y Matrix son descentralizados/federados. SimpleX es distribuido.