De Signal-fork Molly is al drie maanden niet bijgewerkt (laatste release op 31 juli), waardoor de app kwetsbaar is voor beveiligingslekken die in de officiële Signal-app al zijn verholpen. Een specifiek voorbeeld is een exploit uit oktober die in Signal-versie 8.27.1 is gepatcht, maar in Molly nog aanwezig is. Gebruikers wordt daarom geadviseerd om over te stappen naar de hoofdversie van Signal.
Hoewel Molly populair was vanwege functies zoals UnifiedPush, de 'de-googled' insteek en ondersteuning voor meerdere apparaten, biedt de officiële Signal-app inmiddels ook ondersteuning voor gekoppelde Android-apparaten. Voor gebruikers die de Google Play Store vermijden, zijn er alternatieve installatie- en update-methoden beschikbaar via directe APK-downloads, Obtainium of F-Droid.
Molly (Signal fork) is al drie maanden niet bijgewerkt en is kwetsbaar voor aanvallen die in de hoofdversie van Signal zijn opgelost
Details over de kwetsbaarheid
De laatste release van Molly verscheen op 31 juli (versie v8.19.2-4). De app bevat kwetsbaarheden die in de officiële Signal-app inmiddels zijn gepatcht.
Een specifiek voorbeeld is de exploit die in oktober bekend werd gemaakt; deze is hersteld in Signal-versie 8.27.1, terwijl Molly nog steeds kwetsbaar is voor deze aanval.
Aanbeveling: Het wordt momenteel aangeraden om over te stappen naar de hoofdversie van Signal en Molly te verwijderen, ten minste totdat de ontwikkelaars van Molly hun app weer adequaat bijwerken.
---
Analyse van alternatieven en functionaliteiten
In de discussie over het gebruik van Molly versus de officiële Signal-app komen verschillende technische overwegingen naar voren:
Waarom gebruikers voor Molly kozen
- UnifiedPush: Ondersteuning voor pushmeldingen zonder afhankelijkheid van Google Play Services.
- De-googled: De wens om een app te gebruiken die volledig losstaat van het Google-ecosysteem.
- Meerdere apparaten: Voorheen werd Molly gebruikt om één account op twee Android-toestellen tegelijkertijd te gebruiken.
Recente ontwikkelingen in de officiële Signal-app
- Gekoppelde apparaten: Signal ondersteunt nu standaard dat Android-telefoons als secundaire apparaten kunnen worden gekoppeld (vergelijkbaar met hoe de desktop-app werkt). Hierdoor is het koppelen van bijvoorbeeld een tablet aan een smartphone nu mogelijk binnen de officiële app.
- Installatie buiten de Play Store: Signal is niet alleen beschikbaar via de Play Store, maar kan ook direct als APK worden gedownload via
https://signal.org/android/apk/.
Alternatieve installatie- en update-methoden
Voor gebruikers die de Play Store vermijden, worden de volgende opties genoemd:
- Obtainium: Een tool die updates kan ophalen via de JSON-feed van Signal (
https://updates.signal.org/android/latest.json).
- F-Droid: Signal wordt gedistribueerd door het Guardian Project op F-Droid.
Pushmeldingen zonder Google Play Services
Er is discussie over de werking van meldingen op alternatieve systemen:
- Gebruikers van GrapheneOS en microG (op crDroid/LineageOS) rapporteren dat zij gewoon meldingen ontvangen.
- Er wordt opgemerkt dat pushmeldingen mogelijk via Google Firebase lopen, waardoor ze zelfs zonder volledige Play Services kunnen functioneren.
Molly (Signal fork) is al drie maanden niet bijgewerkt en is kwetsbaar voor aanvallen die in de hoofdversie van Signal zijn opgelost
Details over de kwetsbaarheid
De laatste release van Molly verscheen op 31 juli (versie v8.19.2-4). De app bevat kwetsbaarheden die in de officiële Signal-app inmiddels zijn gepatcht.
Een specifiek voorbeeld is de exploit die in oktober bekend werd gemaakt; deze is hersteld in Signal-versie 8.27.1, terwijl Molly nog steeds kwetsbaar is voor deze aanval.
Aanbeveling: Het wordt momenteel aangeraden om over te stappen naar de hoofdversie van Signal en Molly te verwijderen, ten minste totdat de ontwikkelaars van Molly hun app weer adequaat bijwerken.
---
Analyse van alternatieven en functionaliteiten
In de discussie over het gebruik van Molly versus de officiële Signal-app komen verschillende technische overwegingen naar voren:
Waarom gebruikers voor Molly kozen
- UnifiedPush: Ondersteuning voor pushmeldingen zonder afhankelijkheid van Google Play Services.
- De-googled: De wens om een app te gebruiken die volledig losstaat van het Google-ecosysteem.
- Meerdere apparaten: Voorheen werd Molly gebruikt om één account op twee Android-toestellen tegelijkertijd te gebruiken.
Recente ontwikkelingen in de officiële Signal-app
- Gekoppelde apparaten: Signal ondersteunt nu standaard dat Android-telefoons als secundaire apparaten kunnen worden gekoppeld (vergelijkbaar met hoe de desktop-app werkt). Hierdoor is het koppelen van bijvoorbeeld een tablet aan een smartphone nu mogelijk binnen de officiële app.
- Installatie buiten de Play Store: Signal is niet alleen beschikbaar via de Play Store, maar kan ook direct als APK worden gedownload via
https://signal.org/android/apk/.
Alternatieve installatie- en update-methoden
Voor gebruikers die de Play Store vermijden, worden de volgende opties genoemd:
- Obtainium: Een tool die updates kan ophalen via de JSON-feed van Signal (
https://updates.signal.org/android/latest.json).
- F-Droid: Signal wordt gedistribueerd door het Guardian Project op F-Droid.
Pushmeldingen zonder Google Play Services
Er is discussie over de werking van meldingen op alternatieve systemen:
- Gebruikers van GrapheneOS en microG (op crDroid/LineageOS) rapporteren dat zij gewoon meldingen ontvangen.
- Er wordt opgemerkt dat pushmeldingen mogelijk via Google Firebase lopen, waardoor ze zelfs zonder volledige Play Services kunnen functioneren.
Groetjes,