Signal 포크 Molly, 3개월째 업데이트 중단
원제: Molly (Signal fork) has not been updated since 3 months and is vulnerable
왜 중요한가
보안 패치가 적용되지 않은 메신저 포크 앱 사용은 이용자 통신 데이터를 직접적 위협에 노출시킨다.
Signal의 Android 포크 앱 Molly가 2024년 7월 31일(v8.19.2-4)을 마지막으로 3개월 이상 업데이트가 중단됐다. 10월에 공개된 보안 취약점이 Signal 8.27에서 수정됐으나 Molly에는 패치가 적용되지 않아 사용자들에게 메인라인 Signal로 전환이 권고되고 있다.
Signal의 탈구글화(de-Googled) Android 포크인 Molly가 3개월 이상 업데이트를 받지 못하고 있어 보안 우려가 커지고 있다. 마지막 릴리스는 7월 31일의 v8.19.2-4이며, 이후 메인라인 Signal이 8.27 버전에서 수정한 취약점이 Molly에는 그대로 남아 있는 상태다.
Molly는 주로 Google Play Services 없이 UnifiedPush를 통한 푸시 알림, 탈구글 환경 지원을 이유로 사용자층을 형성해 왔다. 그러나 커뮤니티 내에서는 GrapheneOS와 MicroG 조합으로도 메인라인 Signal이 정상 작동한다는 의견이 제시됐다.
업데이트 지연 배경으로는 F-Droid 생태계의 배포 절차 복잡성도 거론됐다. 한 Android 개발자는 "F-Droid 측의 관리 방식이 지나치게 번거로워 앱이 3개월간 업데이트되지 않은 적도 있다"고 밝혔다. Signal APK는 signal.org/android/apk에서 직접 내려받을 수 있으며, Obtainium 같은 도구로 자동 업데이트를 구성하는 방법도 대안으로 제시됐다.
현재 커뮤니티에서는 Molly가 업데이트를 재개할 때까지 메인라인 Signal 사용 및 Molly 삭제를 권고하고 있다.