Mollyは3ヶ月更新されず、Signal本体で修正済みの脆弱性を抱えたまま

そのスレッドで誰かが、ここ[1]からSignal APKをインストールすると「アップデートされないよ」と指摘しているけど、それは事実じゃない。Signalは自動でアップデートするし、アップデートの通知も来る。Play Storeより早いこともよくある。おそらくアップデートをランダムに遅らせるという評判のせいだろうね。

[1] https://signal.org/android/apk/

時々、Signalは普通の人じゃないユーザーを嫌っているんじゃないかと感じる。Mollyでは完璧に動くUnified Pushは、通常のクライアントにも簡単に実装できるはずだ。F-Droid用や、Googleと一切関わりたくない人向けにGoogle不要版を簡単に提供できるのと同じように。でも彼らはただ拒否する。ニックネームが導入されるまで何年もかかったし、電話番号なしでの登録が可能になったのも最近で、しかもGoogle Play Store経由だけだ。

私はかなり初期からSignalユーザーで、家族のほとんどとかなりの数の友人を乗り換えさせた。2台目の電話を登録するのにMollyを使った（Signalで今それができると知ったばかりなので、MollyをアンインストールしてSignalをインストールした）。ここ1年で通話体験がかなり悪化した印象がある。つまり、相手側で着信が鳴らない、不在着信としても表示されないことすらある、両端が高品質な接続なのにビデオ通話の品質が非常に低い（他のアプリに切り替えると高品質になる）。つい昨日、屋内の列に並んでいて友人が外にいた。二人ともお互いに電話をかけようとしたが、通話は相手側で鳴ることなくリングトーンが流れるだけだった。もうひどすぎて、自分でMatrixサーバーを立ててそちらに移行しようかと考えている。

他にも同じ経験をしている人はいる？Mollyを使っていたせいかもしれないと思っていたので、2台目のデバイスをSignalに戻した今、試してみるつもりだ。

Signalがサードパーティクライアントを望まない理由が完璧に説明されている。

批判する人へ：完璧だと言っているわけではない。理想の世界なら安全なサードパーティクライアントがあってもいい。ただ現実的だと言っているだけだ。我々の世界にはない、と。

Signalは昔からプライベートメッセージングへの現実的なアプローチであり、それに成功した。Signalは文字通りE2EEを世に広めたんだ！

Signalには脅威モデルがあり、その脅威モデルに対処する最善のアプリを作っている。つまりサードパーティクライアントやフェデレーションを受け入れられないということだ。彼らは「XMPPやSimpleXやMatrixを脇で使うな」とは言わない。「これを提供している。恩恵を受けるなら無料で使え」と言うだけだ。

それでも、あらゆる機会に「それがどれほど異常か」「多少の知性がある人なら誰でも嫌悪するはずだ」と説明する声の大きい少数派がいる。AndroidやGrapheneOSが（「詳細設定でも」）rootアクセスを与えないことに文句を言う人たちと同じ姿勢だと思う。事実、スマホでrootアクセスが欲しいならrootアクセスを提供するシステムをインストールすべきで、提供しないシステムを選んで文句を言うべきではない。

Signalはやっていることにおいて素晴らしい。Signalがやっていることにおいて素晴らしいと認めつつ、別の何かを望むのもいいことだ。

タイムリーで残念だ。昨日ちょうどこのことを考えていた。メインの電話でSignal、セカンダリの電話でMollyを使っている。

昨日Signalがアップデートされて、通知を見たときにMollyが最後にアップデートされたのがいつだったか思い出せなかった…

ネットワーク接続アプリの開発者たちはコミュニティとして、私をこの件に鈍感にさせた。彼らはオオカミ少年だ。セキュリティの名の下に強制的な継続的アップデート。各アップデートが「セキュリティ」のせいで重大だと罪悪感を植え付ける。

私は気にしない。面倒だし、彼らが警告する脅威が、私の人生で心配すべき事柄の中で注意を払うに値するとは思わない。逸話は助けにならない。別の例えで言えば：セキュリティは「子どものことを考えろ」や「以上」のようなものだ。思考停止の決まり文句であり、それを使う人を私は信じない。

Signalという名前の501c3法人は、IT用語で言えばベンダーだ。そうではないか？

Signalクライアントソフトウェアはオープンソースで、一部のクライアントは再現可能ビルドがある。Signalサーバーソフトウェアもオープンソースだが、ある時点で1年以上古くなっていた歴史がある。このサーバーソフトウェアを本番用途で展開する例は稀だ。

Signalサーバーソフトウェアのインスタンスを設定し、知り合いがそのインスタンスにアクセスできる多少改変したSignalクライアントを動かしたとしよう。

しかし、501c3法人SignalがホストするSignalサービスの集中名前空間には、そのサーバーインスタンスを通してアクセスできないだろう。

そして、集中名前空間の法人ベンダーが定めるとおり、また他の理由から、実際にはこのクライアントは別のソフトウェアとして動かさなければならない。「別のアプリ」として。

これがベンダーロックインだ。

501c3法人Signalがホストするサービスは広くオープンに見えるが、許可制の名前空間だ。名前空間にアクセスするには物理的な位置追跡番号、つまり電話番号かクレジット/デビットカードが必要だ。これは奴隷のためだ。俗物のためだ。

アカウントを有効に保つためにスマホでSignalを開け

このベンダーは虐待的だ。

そして、これはMoxieが望んだことではないと思う。

Signal 501c3は集中サービスだ。XMPPとMatrixは分散/フェデレーション型。SimpleXは分散型だ。