Signal 포크 Molly, 3개월간 미업데이트로 보안 취약
원제 Molly(Signal fork) has not been updated since 3 months and is vulnerable
130 포인트댓글 82
Key Point
Signal 포크 앱이 3개월 방치된 사이 신규 보안 취약점이 노출된 상태로, 유사 기능을 찾는 사용자들에게 현재 선택지와 각 대안의 트레이드오프를 정리해야 합니다.
핵심 요약
- Signal의 포크인 Molly의 최신 버전은 7월 31일 v8.19.2-4이며, 그 이후 업데이트되지 않았다.
- Molly는 Signal 8.27에서 이미 수정된 10월 공개 취약점을 포함하고 있다.
- 현재 Molly 사용자는 메인라인 Signal로 전환하고 앱을 삭제할 것이 권장되고 있다.
- Molly 사용자들은 기존에 UnifiedPush 지원, 구글 서비스 제거, 여러 기기 멀티 로그인 같은 기능을 활용했다.
- Signal은 이제 공식적으로 두 개의 안드로이드 기기 동시 사용을 지원하며, Signal-FOSS 같은 대안이 자동 업데이트와 함께 존재한다.
- Signal 공식 앱은 Google Firebase 등 블롭(비공개 바이너리)을 포함하지만, F-Droid 공식 저장소에 올리지 않고 웹사이트에서만 APK를 배포한다.
- Signal-FOSS는 6년 이상 유지되며 자동화된 업데이트, 블롭 제거, UnifiedPush 지원을 제공한다.
- UnifiedPush는 약 1분의 폴링 지연이 있으며, MollySocket 같은 서드파티 서버가 필요해 공격 표면을 증가시킨다.
- Signal이 공식으로 UnifiedPush를 지원하는 것이 Google FCM 의존도를 줄일 수 있는 개선이 될 것으로 지적된다.