Signal派生アプリ「Molly」3ヵ月更新なし、海外で議論
姉妹サイトの新着
SignalのAndroid向け派生アプリ「Molly」が3ヵ月以上更新されず脆弱性を抱えたままだという投稿が、海外掲示板Hacker Newsで話題になった。議論は派生アプリの話にとどまらず、公式Signalのサイト配布版APKがタップしても更新されないという報告や、Signalが最近1つのアカウントをiPhone・Android間で複数端末共有できるようにした新機能、分散型の代替アプリSessionやSimpleXの評価、電話番号による認証コードの必要性への疑問など、プライバシー重視アプリをめぐる広い論点に発展した。
Molly（Signalの派生アプリ）が3ヵ月も更新されておらず、脆弱性を抱えている
出典: piefed.world / 元記事はこちら
[1] https://signal.org/android/apk/
確かに更新通知は来る（真夜中に鳴って叩き起こされたこともある）が、少なくとも自分の環境では自動更新まではしてくれない。Obtainiumを使えば解決するけど、もっと大きな問題はWebSocketのせいでバッテリーの消耗が激しいこと。
Signalは『新しいバージョンがあります、ここをタップして更新』という通知を送ってくるけど、タップしても自分の端末では何も起きたことがない。毎回公式サイトからAPKを落とし直すしかない。
https://aboutsignal.com/news/signal-allows-iphones-to-be-lin…
その記事、iPhoneのことしか書いてないけど（そもそもMollyはiPhoneでは選択肢になかった）、Androidでも対応してるみたい
https://aboutsignal.com/news/signal-allows-android-phones-to…
やっと追加されたか、本当によかった。
その機能が必要だったときに、ちゃんと告知してくれなかったんだな。自分は古いiPhoneを使い続けるためにBeeperでSignalを使っていたよ。
自分も安定してサポートされたライブラリを使ってほしいと思っているけど、どうもそこは重視されていないみたいだ。残念だよ、せっかくFOSSの選択肢があるのに、それと連携するのが難しい。
F-Droidを使っている人の数なんてごくわずかだ。『普通の人じゃない』連中は、これまでと同じようにPGPを使い続ければいい。（二段落目は半分ネタ）
確かに少数派だけど、他の人に影響を与えるタイプの層でもある。F-Droidの利用を広めるという意味じゃなく、Signalの利用を広めるという意味で。全体の普及の助けになるかもしれない。
SignalがF-Droidに載って、ビルドが再現可能（reproducible build）であることが確認できれば、信頼できると思う。今のままだと、やたらマーケティングで『信用して』と言ってくるだけのクローズドソースアプリにしか見えない。
『Signalは501(c)(3)の非営利団体による中央集権サービス。XMPPやMatrixは分散/フェデレーション型。SimpleXは分散型。』
SessionはSignalの分散型フォークで、電話番号を使わずに端末上でアカウントを作れる。
https://getsession.org/
Simplexについてはmaqp2のこのコメントも参考に: https://web.archive.org/…
Sessionは絶対に避けたほうがいい。分散型という点は評価できるけど、開発陣はいくつもの機能を安全でない形で実装していて、しかも奇妙なことに前方秘匿性（forward secrecy）のような機能をわざわざ削除している。暗号の専門家がこの件についてブログ記事を書いている: https://soatok.blog/2025/01/14/dont-use-session-signal-fork/
逆だよ。UnifiedPushを使うアプリが増えれば、それを使っている人はむしろ目立たなくなる。
その理屈がよくわからない。例えばTelegramなんて色々な点で『目立つ』要素を持っているのに、それでも一般ユーザーに普通に受け入れられている。
それはただのビルド設定を2つ用意するだけの話。何千ものちょっとしたオープンソースプロジェクトが同じことをやっている。
あなたは、上の人が言っていることに賛成なの?
見方が違うだけだよ。みんなが書かれた内容そのものに直接反論しているわけじゃない。そんなに突っかからなくていいと思う。
Signalのことはよく知らないけど、別のアプリで似たような問題（SQLiteのDBにアクセスできない）に遭遇したことがある。コンピューター側でフルバックアップを取れば、その中から『隠れた』アプリデータを探し出せるサードパーティ製ツールがいくつかある。自分が前に使ったのはiMazingだけど、無料のオープンソース版もあるはずだ。頑張って!
『sqlite3のCLIを使えば、そのSQLite DBは実は簡単に直せて、メッセージも復元できる』はずなのに、アプリ自身がその処理をできないのはおかしい気がする。なぜアプリ側で直してくれないんだろう?
それが実現するには、Appleが自己署名キーでの3rd party製アプリのインストールを許可して、（このケースではサンドボックス内の）アプリデータが見られるようにする必要があるってことだよね?
他サイトの新着
あれはおそらくセキュリティ上の理由だと思う。コードが本当にSignalの正しい電話番号から送られてきたものかを確認して、第三者による偽装を防ぐためのものだろう。過保護ではあるけど、非技術者のユーザーのためのトレードオフだと思う。
なぜか他のアプリ、銀行のアプリも含めて、そんな仕組みを必要だと考えていないみたいだけどね。Signalはいつも言い訳ばかりだ。『ユーザー名機能を追加できないのは、安全に実装する方法がわからないから』とか。
『正しいSignalの電話番号から送られてきたことを確認できる』とあるけど、そもそも第三者がそのコードを何らかの形で見て、本人の代わりに渡したとしても――それで何が問題になるの? 何が違うの?
こう言うのは嫌だけど、Signalがあなたのメッセージを読むことすら信用できないなら……もう手遅れだよ。Facebook Messengerを使い続ければいい。
友達とSignalでやり取りするミームと、虎の子の銀行口座の認証コードとでは、必要な信頼のレベルが全然違う。どれだけ安全だと言われても、アプリにメッセージを読む権限をわざわざ与える理由なんてない。
あなたが大げさに言って論点をわかりやすくしているのは理解しているけど、SignalとFacebook Messengerはユーザーにとって同じレベルの安全性ではないよ。『完全に信頼する』という話ではないにせよ、両者がスペクトルの全く違う端にいることは分かってもらえるはず。
銀行アプリのセキュリティはチェックリスト方式でやっていて、まだそれをチェックリストに入れた人がいないだけだよ。
この話題の背景と論点
「Molly」はSignalをベースにAndroid向けに作られた派生アプリで、Torとの連携やF-Droidでの配布など、公式版にない機能を目的に使われてきた。開発は小規模な体制で続いており、更新が数ヵ月止まることは珍しくない。一方、公式Signal自体もGoogle Playストア経由なら自動更新されるが、スレで話題になった「サイトから落としたAPK版」は通知が来ても手動で再ダウンロードが必要という誤解されやすい仕組みがある。スレでは、Mollyの更新停滞そのものより、分散型を名乗る代替アプリSessionが前方秘匿性を外しているなど別の問題を抱えている点や、電話番号による認証コードの必要性への疑問など、プライバシー重視アプリ全体の信頼性をめぐる議論に広がった。
※本記事は海外掲示板 Hacker News のスレッド「Molly(Signal fork) has not been updated since 3 months and is vulnerable」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
まだコメントはありません。