Molly, Signal 포크인데 3개월째 업데이트 없이 알려진 취약점에 노출

그 스레드에서 누군가 여기서 [1] Signal APK를 설치하면 "업데이트는 안 된다"고 언급했는데, 그건 사실이 아니다. Signal은 스스로 업데이트된다. 업데이트하라는 알림을 받는다. 아마 무작위로 업데이트를 지연시키는 평판 때문에 Play Store보다 더 일찍 받을 때도 많다.

[1] https://signal.org/android/apk/

가끔 Signal이 평범한 일반인이 아닌 사용자를 싫어하는 것 같은 느낌이 든다. Molly에서는 완벽하게 작동하는 Unified Push를 일반 클라이언트에도 쉽게 구현할 수 있을 텐데. F-Droid용이나 구글과 아무 관련 없기를 원하는 사람들을 위한 구글 없는 버전을 쉽게 제공할 수도 있을 텐데. 하지만 그들은 그냥 거부한다. 닉네임이 도입되기까지 몇 년이 걸렸고, 전화번호 없이 가입하는 것도 최근에야 가능해졌고 그것도 구글 플레이 스토어를 통해서만 가능하다.

나는 아주 초창기부터 Signal 사용자였고, 가족 대부분과 꽤 많은 친구들을 전환시켰다. 두 번째 폰을 등록할 때 Molly를 사용했는데(이제 Signal로도 할 수 있다는 걸 알게 되어 Molly를 삭제하고 Signal을 설치했다).지난 한 해 동안 통화 경험이 상당히 나빠진 것 같다. 즉, 상대방 쪽에서 벨이 울리지 않고, 때로는 부재중 전화로도 표시되지 않으며, 양쪽 모두 고품질 연결인데도 영상 통화 품질이 매우 낮다(다른 앱으로 전환하면 고품질이 나온다). 바로 어제 실내 대기줄에 서 있었고 친구는 밖에 있었다. 우리 둘 다 서로에게 전화를 걸려고 했지만 상대방 쪽에서는 벨이 울리지 않고 발신음만 들렸다. 너무 심해져서 이제 내 Matrix 서버를 직접 설정해서 옮겨갈까 고려 중이다.

다른 사람들도 같은 경험을 하는지? Molly를 사용해서 그런 건지 궁금했는데, 이제 두 번째 기기를 Signal로 돌아가서 테스트해볼 생각이다.

Signal이 왜 서드파티 클라이언트를 원하지 않는지 완벽하게 설명해준다.

비판하는 사람들에게: 내가 완벽하다고 말하는 게 아니다. 이상적인 세상이라면 안전한 서드파티 클라이언트가 있을 수 있다. 다만 현실적이라고 말하는 것뿐이다. 우리 세상에서는 그렇지 않다.

Signal은 항상 사생활 보호 메시징에 대한 실용적 접근이었고, 그것에 성공했다. Signal은 말 그대로 E2EE를 세상에 알린 장본인이다!

Signal에는 위협 모델이 있고, 그 위협 모델을 해결하는 최선의 앱을 만든다. 즉, 서드파티 클라이언트나 연합을 받아들일 수 없다. 그들은 "XMPP나 SimpleX, Matrix를 옆에서 쓰지 마"라고 말하지 않는다. 그저 "우리는 이것을 제공하니, 도움이 된다면 무료로 쓰라"고 말할 뿐이다.

그런데도 아주 목소리 큰 소수가 그들이 설명할 기회가 있을 때마다 그것이 얼마나 "미친" 것인지, "어느 정도 지능이 있는 사람이라면 어떻게 역겨워하지 않을 수 있겠는지"를 설명한다. 나는 이것이 Android나 GrapheneOS가 루트 권한을 주지 않는다고 불평하는 사람들과 같은 태도라고 본다("고급 설정에서조차"). 사실 휴대폰에서 루트 권한을 원한다면 루트 권한을 주는 시스템을 설치해야지, 주지 않는 시스템을 선택해 놓고 불평해서는 안 된다.

Signal은 하는 일을 잘한다. Signal이 하는 일을 잘한다는 것을 인정하면서도 다른 것을 원하는 것은 괜찮다.

시의적절하네, 그리고 안타깝다. 바로 어제 이걸 궁금해하고 있었는데, 나는 주 폰에 Signal을, 보조 폰에 Molly를 쓴다.

어제 Signal 업데이트가 있었고 알림을 봤을 때 Molly가 마지막으로 업데이트된 게 언제였는지 기억이 안 났다...

네트워크에 연결된 애플리케이션 개발자들은 커뮤니티로서 나를 이 상황에 무감각하게 만들었다. 그들은 양치기 소년이다. 보안이라는 명목으로 강제 연속 업데이트를 한다. "보안" 때문에 각 업데이트가 중요하다고 생각하게 만든다.

난 상관없다. 번거롭고, 그들이 경고하는 위협이 내 인생에서 걱정해야 할 일들 중 내 주의를 끌 만한 것이라고 믿지 않는다. 일화는 도움이 안 된다. 또 다른 비유를 과하게 쓰자면: 보안은 "아이들을 생각하라"나 "이상 끝" 같은 것이다. 사고를 종결시키는 상투어이고, 그걸 쓰는 사람들을 믿지 않는다.

IT 용어로 Signal이라는 이름의 501c3 법인은 공급업체다. 그렇지 않은가?

Signal 클라이언트 소프트웨어는 오픈 소스이고 일부 클라이언트는 재현 가능 빌드를 제공한다. Signal 서버 소프트웨어도 오픈 소스지만, 어떤 시점에는 1년 이상 구버전이었던 이력이 있다. 이 서버 소프트웨어를 프로덕션용으로 배포하는 사례는 드물다.

Signal 서버 소프트웨어 인스턴스를 구성하고, 아는 사람들이 그 Signal 서버 소프트웨어 인스턴스에 접속할 수 있는 약간 수정된 Signal 클라이언트를 실행한다고 가정하자.

하지만 Signal이라는 501c3 법인이 호스팅하는 중앙화된 Signal 서비스의 네임스페이스는 그 서버 인스턴스를 통해 접근할 수 없을 것이다.

그리고 중앙화된 네임스페이스의 501c3 공급업체가 정한 대로, 그리고 다른 이유들로 인해 실제로 이 클라이언트는 별도의 소프트웨어로 실행되어야 한다. "또 다른 앱"으로.

이것은 공급업체 종속이다.

Signal이라는 501c3 법인이 호스팅하는 서비스는 겉보기에는 널리 열려 있지만 권한이 필요한 네임스페이스다. 네임스페이스에 접근하려면 물리적 위치 추적 번호, 즉 전화번호나 신용/직불 카드가 필요하다. 이건 노예들을 위한 것이다. 속된 자들을 위한 것이다.

계정을 활성화 상태로 유지하려면 휴대폰에서 Signal을 여세요

이 공급업체는 횡포하다.

그리고 이건 Moxie가 원한 게 아니라고 생각한다.

Signal 501c3은 중앙화된 서비스다. XMPP와 Matrix는 탈중앙화/연합형이다. SimpleX는 분산형이다.