آسیب‌پذیری در Molly: چرا استفاده از نسخه انشعاب‌یافته Signal خطرناک شده است؟ — Molly(Signal fork) has not been updated since 3 months and is vulnerable
خلاصه
اپلیکیشن Molly به عنوان یک انشعاب از Signal مدت‌هاست به‌روزرسانی دریافت نکرده و در برابر آسیب‌پذیری‌های اخیر امنیتی بی‌دفاع مانده است. توسعه‌دهندگان و کاربران حرفه‌ای باید تا زمان بازگشت این پروژه به چرخه آپدیت منظم، به نسخه اصلی Signal مهاجرت کنند.
مقدمه
برای توسعه‌دهندگان و مدافعان حریم خصوصی، استفاده از ابزارهای امن و پیام‌رسان‌های متن‌باز یک ضرورت است. اپلیکیشن Molly یکی از انشعاب‌ها یا همان forkهای محبوب پیام‌رسان Signal روی اندروید بود که امکانات اضافه‌تری مانند پشتیبانی از UnifiedPush و قابلیت‌های امنیتی سخت‌گیرانه‌تر را ارائه می‌داد. با این حال، گزارش‌های اخیر نشان می‌دهند که این پروژه با خطر جدی عقب‌افتادگی در به‌روزرسانی‌های امنیتی مواجه شده است.
وضعیت فعلی Molly و خطرات امنیتی آن
بر اساس بررسی‌های انجام‌شده، آخرین نسخه پایدار Molly در اواخر ماه جولای منتشر شده و از آن زمان تاکنون هیچ به‌روزرسانی دریافت نکرده است. این تأخیر طولانی‌مدت به این معناست که آسیب‌پذیری‌های حیاتی کشف‌شده در ماه‌های اخیر که در نسخه اصلی Signal اصلاح شده‌اند، در Molly همچنان پابرجا هستند.
به عنوان نمونه، یک آسیب‌پذیری مهم که در ماه اکتبر افشا و در نسخه 8.27.1 از Signal برطرف شد، در Molly همچنان وجود دارد و کاربران این اپلیکیشن را در معرض خطر قرار می‌دهد. توصیه کارشناسان در وضعیت کنونی این است که کاربران موقتاً Molly را کنار گذاشته و از نسخه اصلی Signal استفاده کنند.
چرا برخی کاربران از Molly استفاده می‌کردند؟
در جوامع برنامه‌نویسی و میان کاربران سیستم‌عامل‌های آزاد، بحث‌های زیادی پیرامون دلایل استفاده از Molly مطرح شده است. مهم‌ترین دلایل عبارتند از:
- پشتیبانی از UnifiedPush: برای دریافت نوتیفیکیشن‌ها بدون نیاز به سرویس‌های گوگل (Google Play Services).
- محیط‌های De-Googled: استفاده روی کاستوم‌رام‌ها یا سیستم‌عامل‌هایی مانند GrapheneOS بدون وابستگی به زیرساخت‌های گوگل.
- عادت‌های قدیمی: برخی کاربران تصور می‌کردند قابلیت‌هایی مثل اتصال هم‌زمان به چند دستگاه یا نصب روی تبلت فقط در Molly وجود دارد، در حالی که نسخه اصلی Signal سال‌هاست از قابلیت لینک کردن دستگاه‌های ثانویه (مانند تبلت‌ها و نسخه‌های دسکتاپ) پشتیبانی می‌کند.
نکات مطرح‌شده در بحث‌های فنی
در تبادل نظرهای انجام‌شده پیرامون این موضوع، چالش‌های توزیع نرم‌افزار نیز مورد توجه قرار گرفت:
- برخی کاربران از عدم وجود نسخه رسمی Signal در فروشگاه‌های جایگزین مانند F-Droid گلایه داشتند؛ هرچند تیم Signal فایل‌های APK مستقیم را در وب‌سایت خود منتشر می‌کند.
- برای کاربرانی که به گوگل پلی دسترسی ندارند یا ترجیح می‌دهند آپدیت‌ها را خودکار دریافت کنند، ابزارهایی مثل Obtainium به عنوان راه‌حل‌هایی برای رصد فایل‌های
latest.jsonو دریافت مستقیم آپدیت‌های APK پیشنهاد شدند. - همچنین اشاره شد که خود اپلیکیشن Signal از طریق فایل APK مستقیم نیز قابلیت خودبه‌روزرسانی (Self-update) دارد و نیازی به دانلود دستی مداوم نیست.
نتیجه‌گیری برای مهندسین نرم‌افزار
استفاده از forkها همیشه با ریسک همراه است. وقتی تیم توسعه‌دهنده یک پروژه کوچک‌تر نمی‌تواند سرعت خود را با مخزن بالادستی (Upstream) یعنی Signal هماهنگ کند، پچ‌های امنیتی حیاتی اعمال نمی‌شوند. اگر از Molly استفاده می‌کنید، بهترین تصمیم امنیتی در حال حاضر بازگشت به نسخه اصلی Signal است تا از آسیب‌پذیری‌های روز در امان بمانید.
این مطلب به‌صورت کاملاً خودکار و با هوش مصنوعی از مقالهٔ اصلی و بحث هکرنیوز تهیه شده و ممکن است خطا داشته باشد. حقوق مطلب اصلی متعلق به نویسندهٔ آن است. قوانین و گزارش مشکل