Molly, форк Signal, не обновлялся три месяца и уязвим к атакам

Кто-то в той ветке отмечает, что если установить Signal APK отсюда [1], то он «не получает обновления», но это не так. Signal обновляется сам; вы получаете уведомление об обновлении. Часто раньше, чем в Play Store, вероятно, из-за его репутации случайно задерживать обновления.

[1] https://signal.org/android/apk/

Иногда у меня возникает ощущение, что Signal ненавидит пользователей, которые не совсем «нормисы». Unified Push, который безупречно работает на Molly, можно было бы легко реализовать в обычном клиенте. Как и легко предложить версию без Google для F-Droid или просто для людей, которые не хотят иметь ничего общего с Google. Но они просто отказываются. Так же, как потребовались годы для введения никнеймов, а регистрация без номера телефона стала возможной только недавно и только через Google Play Store.

Я пользователь Signal с самых ранних времён, перевёл большую часть своей семьи и немало друзей. Я использовал Molly, чтобы зарегистрировать свой второй телефон (только что обнаружил, что теперь могу сделать это с Signal, так что удалил Molly и установил Signal). У меня сложилось впечатление, что качество звонков значительно ухудшилось за последний год, то есть звонки просто не звонят на другом конце, иногда даже не отображаются как пропущенные, видеозвонки очень низкого качества, хотя оба конца на высокоскоростных соединениях (и переключение на другие приложения даёт высокое качество). Буквально вчера я стоял в очереди в помещении, а друг был снаружи. Мы оба пытались позвонить друг другу, но звонок просто давал гудки, не звоня на другом конце. Это стало настолько плохо, что я теперь рассматриваю возможность настроить свой собственный сервер matrix и перейти на него.

Кто-нибудь ещё испытывает то же самое? Я задавался вопросом, не из-за того ли это, что я использовал Molly, так что теперь проверю, вернувшись к Signal для второго устройства.

Это прекрасно объясняет, почему Signal не хочет сторонних клиентов.

Ненавистникам: я не говорю, что это идеально, в идеальном мире у нас могли бы быть безопасные сторонние клиенты. Я просто говорю, что это прагматично: в нашем мире их нет.

Signal всегда был прагматичным подходом к приватному обмену сообщениями, и он в этом преуспел: Signal буквально поставил E2EE на карту!

У Signal есть модель угроз, и они делают лучшее приложение, какое могут, учитывая эту модель угроз. Что означает, что они не могут принять сторонние клиенты или федерацию. Они не говорят «вы не можете использовать XMPP или SimpleX или Matrix на стороне», они просто говорят «мы предоставляем это, если вам это полезно, используйте бесплатно».

Тем не менее, есть очень громкое меньшинство, которое использует любую возможность, чтобы объяснить, как это «безумно» и как они «не могут представить, как кто-то с хоть каким-то интеллектом не испытывает отвращения». Я считаю, что это та же позиция, что и у тех, кто жалуется, что Android или GrapheneOS не дают root-доступ («даже в расширенных настройках»). Факт в том, что если вы хотите root-доступ на телефоне, вам следует установить систему, которая даёт root-доступ, а не выбирать систему, которая этого не делает, а потом жаловаться.

Signal великолепен в том, что делает. Это нормально — хотеть чего-то другого, признавая, что Signal великолепен в том, что делает.

Как вовремя, и как досадно. Я как раз вчера задавался этим вопросом, я использую Signal на основном телефоне и Molly на втором телефоне.

Вчера Signal получил обновление, и когда я увидел уведомление, то не смог вспомнить, когда Molly обновлялся в последний раз...

Разработчики сетевых приложений как сообщество сделали меня невосприимчивым к этому. Они — Мальчик, который кричал «Волк». Непрерывные обязательные обновления во имя безопасности. Заставляют вас чувствовать вину, внушая, что каждое обновление критично из-за «безопасности».

Мне всё равно. Это морока, и я не верю, что угрозы, о которых они предупреждают, заслуживают моего внимания в ландшафте того, о чём мне следует беспокоиться в жизни. Анекдоты не помогают. Перегружая ещё одной аналогией: безопасность — это «подумайте о детях» или «точка»: это клише, прекращающее мысли, и я не верю людям, которые его используют.

Корпорация 501c3 под названием Signal — в IT-терминах это вендор. Разве нет?

Клиентское программное обеспечение Signal имеет открытый исходный код, и некоторые клиенты имеют воспроизводимые сборки. Серверное программное обеспечение Signal имеет открытый исходный код, хотя в некоторых моментах истории было более чем на год устаревшим. Другие развёртывания этого серверного ПО для production-использования редки.

Предположим, вы настроили экземпляр серверного ПО Signal, и другие, кого вы знаете, запустили несколько модифицированный клиент Signal, который мог бы получить доступ к этому экземпляру серверного ПО Signal.

Но централизованное пространство имён размещённого сервиса Signal, управляемого корпорацией 501c3 под названием Signal, не было бы доступно через этот экземпляр сервера, не так ли.

И, как диктует корпоративный вендор централизованного пространства имён, и по другим причинам, на практике этот клиент должен был бы работать как отдельный программный продукт. «Другое приложение».

Это вендорская блокировка.

Сервис, размещённый корпорацией 501c3 под названием Signal, кажется широко открытым, но это пространство имён с разрешениями. Для доступа к пространству имён требуется номер для отслеживания физического местоположения, он же номер телефона, или кредитная/дебетовая карта. Это для рабов. Для профанов.

Откройте Signal на телефоне, чтобы поддерживать активность аккаунта

Этот вендор абьюзивен.

И я не думаю, что этого хотел Мокси.

Signal 501c3 — централизованный сервис. XMPP и Matrix децентрализованы/федеративны. SimpleX распределён.