مولی (سیگنال فورک) از 3 ماه قبل آپدیت نشده و آسیب پذیر است

ارسال شده از: https://piefed.world/c/ysk/p/1503393/ysk-molly-signal-fork-has-not-been-updated-since-3-months-and-is-vulnerable-to-attacks-f

در حال حاضر، آخرین نسخه Molly در 31 جولای (نسخه v8.19.2-4) بود.

این شامل آسیب پذیری هایی است که به سادگی در سیگنال خط اصلی رفع شده بودند.

به عنوان مثال آخرین اکسپلویت فاش شده در اکتبر را در نظر بگیرید، در سیگنال 8.27 ثابت شده است. 1 . در همین حال، مولی آسیب پذیر است.

در حال حاضر توصیه می‌شود از سیگنال اصلی استفاده کنید و Molly را حذف کنید تا حداقل اگر بخواهند برنامه خود را به‌طور کافی به‌روزرسانی کنند.

چرا وقتی سیگنال درست آنجاست، Molly را اجرا کنیم؟ آیا این مربوط به دریافت آن از طریق مکان‌هایی غیر از فروشگاه Play است؟

من از آن استفاده نمی‌کنم، اما فکر می‌کنم بزرگترین دلیل این است که گوگل‌زدایی شده است

من آن را به طور خاص برای پشتیبانی UnifiedPush اجرا می کنم که به من اعلان های فشاری را بدون خدمات Google Play می دهد.

سیگنال برای مرجع کاملا با MicroG کار می کند.

من هیچ سرویس Google Play در تلفن GrapheneOS یا هیچ حساب Google ندارم. سیگنال با MicroG برای همه اعلان‌ها سریع و دقیق کار می‌کند.

این فشار و فشار یکپارچه (اگرچه من هنوز موفق به این کار نشده ام) نقطه فروش اصلی من است، بله. من به طور جدی نمی فهمم سیگنال فقط در PlayStore چگونه است

با من قاطی می کنی؟ این به معنای واقعی کلمه درست در زیر است: https://signal.org/android/apk/

من از آن آگاهم. اما من قرار نیست هر بار یک فایل را به صورت دستی دانلود کنم. و من به خصوص از اعضای خانواده که فروشگاه پلی استور ندارند و نمی توانند به خوبی از تلفن استفاده کنند، نمی توانم چنین انتظاری داشته باشم. بچه ای که من گوشی را مدیریت می کنم حتی مرورگر هم ندارد پس بله

بنابراین از Obtainium استفاده کنید؟ این بدتر از f-droid یا هر جایی که مولی را از آن می گیرید نیست

ویرایش: صفحه فقط https://updates.signal.org/android/latest.json را واکشی می کند، که حاوی پیوندی به APKی است که می خواهید دانلود کنید، بنابراین می توانید آن را به هر سرویس به روز رسانی دوره ای که می خواهید ارسال کنید.

به‌عنوان یک توسعه‌دهنده اندروید که برنامه‌ای در فروشگاه Play و همچنین در f-droid دارد، اولین کسی هستم که می‌گویم افراد f-droid قرار دادن چیزها را در آنجا دردسر می‌کنند. من تقریبا به دلیل آزاردهنده بودن فشار دادن به آنجا را متوقف کردم. برنامه من 3 ماه بدون به روز رسانی در آنجا به دلیل نحوه مدیریت آنها کار کرد. آنها راه راه هستند. بسیار خسته کننده برای مقابله با آن است.

بنابراین بله من تعجب نمی کنم. خیلی چیزها آنجا نیست. من از این مفهوم حمایت می‌کنم و هدف اصلی من قرار دادن آن در آنجا بود، اما نظر من در مورد استفاده از آن و هرکسی که از استفاده از برنامه‌ای به دلیل وجود نداشتن آن امتناع می‌کند، به شدت تغییر داده‌اند. باید سعی کنید زمانی در آنجا منتشر کنید

پس از آن مخزن خودت چطور؟ اگر سیگنال این کار را انجام دهد با آن کاملا خوب خواهم بود.

مطمئنا این کاری است که نگهبان برای سیگنال انجام داد. این فقط یک علاقه است زیرا همه باید آن مخزن را به صورت دستی اضافه کنند. افراد بسیار آزاد اگر حتی بدانند که این اصطکاک بیشتر وجود دارد، به زحمت خواهند افتاد

من نمی دانستم اما شما می توانید از ابتانیوم و این استفاده کنید

بله، این کاری بود که مدتی انجام دادم تا زمانی که مولی را کشف کردم... آزاردهنده است اما احتمالا بهترین گزینه اگر مولی رها شود.

من از molly استفاده می کنم زیرا تلفن هوشمند و تبلت اندرویدی دارم و اجرای هر دو با سیگنال با سیگنال امکان پذیر نیست. (شاید آن را تغییر داده است؟ باید آن را بررسی کنم)

انجام دادند! (اگر در مورد جفت کردن تبلت با تلفن هوشمند خود صحبت می کنید، مانند نحوه جفت شدن برنامه دسکتاپ آنها).

https://aboutsignal.com/news/signal-allows-android-phones-to-be-linked-as-secondary-devices/

در یک غیرمرتبط، پشتیبان‌گیری سیگنال من حافظه نهان استیکر را خراب می‌کند، بنابراین همه استیکرهای قدیمی به درستی نشان داده نمی‌شوند، آیا کسی راهی می‌داند که آن را مجبور به بارگیری جدید کند؟

ممنون، من مدتی است که از مولی در برگه خود استفاده می کنم. اکنون سیگنال را نصب کرده اید

https://github.com/mollyim/mollyim-android#features

با Molly می توانید از یک حساب Signal در دو دستگاه استفاده کنید.

این به چه معناست؟ من از سیگنال با مشتری رسمی در 5 دستگاه استفاده می کنم خوب است؟

سیگنال به صورت استاندارد از دو دستگاه اندرویدی در یک حساب پشتیبانی می کند

بله، از یک ماه یا بیشتر، و تاکید بر 2 و نه نامحدود

@ stsquad @ beep دلیل اصلی من این است که می‌توانم برنامه را با استفاده از F-Droid نصب و به‌روزرسانی کنم و مجبور نباشم این کار را به صورت دستی یا با مدیر بسته دیگری انجام دهم. داشتن اعلان‌های فشاری که بر روی یک تلفن حذف‌شده از گوگل کار می‌کنند، بدون اینکه باتری من خالی شود، دومین مرحله است.

سیگنال توسط پروژه نگهبان در Fdroid توزیع می شود.

بله به طور غیررسمی... این یک راهزن است. این واقعا بد است که یک بیلد قابل تکرار بدون blobfree در F-Droid و Flathub یا حتی فقط مخازن خارجی (برای F-Droid و flathub) نداشته باشید.

در عوض، آنها یک APK خودبه‌روزرسانی پنهان (که مفهومی بسیار نفرین‌شده است) با حباب‌ها و یک Appimage لعنتی در لینوکس دارند.

بله، آیا سیگنال واقعی دلیلی برای این وجود دارد؟

بعضی چیزهای اضافی را انجام می دهد، سیگنال این کار را نمی کند (ظاهرا). اگرچه همیشه خطر استفاده از مشتری ثالث وجود دارد. و حدس می‌زنم ممکن است برخلاف TOS سیگنال باشد؟

چرا وقتی Session درست در آنجاست Signal را اجرا کنیم؟ شاید شما فقط از افشای ابرداده خوشتان می آید؟

https://abcnews.com/blogs/headlines/2014/05/ex-nsa-chief-we-kill-people-based-on-metadata/

Session رازداری کامل رو به جلو را حذف کرده است. من نمی دانم که آیا آنها هنوز حذف خودکار شکسته شده اند و هنوز همه پیام ها را در یک بلاک چین ذخیره می کنند. با این حال، به طور کلی، من از آن دور خواهم ماند.

من از Signal-FOSS by twinhelix استفاده می کنم. سال‌هاست که وجود دارد و آپدیت‌ها کاملا خودکار هستند.

آنها بسیار ساده هستند، سیگنال deblob، پیام های firebase و نقشه ها و غیره را حذف می کنند.

Twinhelix همچنین برخی از وصله‌های jw را اضافه کرده است که داشتن آنها خوب است.

اگر به آن ویژگی ها نیاز ندارید، من آن را به شدت توصیه می کنم. ارسال سیگنال Google blobs و نداشتن مخزن F-Droid بسیار بد است و نباید پشتیبانی شود.

لیست مخازن F-Droid شخص ثالث را ببینید

توجه داشته باشید که UnifiedPush باید توسط سرور پشتیبانی شود. سپس سرور پیام فشار را به توزیع کننده UnifiedPush (مانند Conversations، ntfy یا Sunup) ارسال می کند. آن توزیع کننده برنامه را بیدار می کند و اعلان را برای شما ارسال می کند.

یک تأخیر جزئی در نظرسنجی حدود 1 دقیقه وجود دارد، بنابراین اعلان‌ها با تأخیر مواجه می‌شوند.

من تأثیر این را با مقایسه molly با UP و Signal APK با websocket اندازه‌گیری کردم. در Pixel 8a دارای GrapheneOS، 12 ساعت بی‌کار در Wifi، حالت هواپیما روشن است (زیرا مودم بیشترین باتری را مصرف می‌کند). من پیکربندی کردم تا 10 پیام را با استفاده از ویژگی Signals "send later" به دستگاه ارسال کنم.

وب سوکت 3 درصد از عمر باتری را استفاده می کند. همین است.

و این تأثیر فقط برای افرادی که به ندرت از سیگنال استفاده می کنند قابل توجه است، بنابراین احتمال اینکه یک آدم عصبی که MollySocket را در آن دسته قرار می دهد بسیار کم است. اگر به طور منظم سیگنال را باز می کنید، این فقط هشدارهای اعلان را بدون هیچ سودی به تاخیر می اندازد.

و از آنجا که سرورهای سیگنال به طور رسمی از این پشتیبانی نمی‌کنند، باید MollySocket را خود میزبانی کنید (که جدای از تأخیر احتمالی به‌روزرسانی، چیزی که این پست در مورد آن است خوب است) یا به برخی اپراتورهای سرور اعتماد کنید. MollySocket به عنوان دستگاه دیگری ثبت شده است، بنابراین سرورهای سیگنال و هر مشتری سیگنال استاندارد با آن به عنوان یک دستگاه قابل اعتماد با کلید رمزگشایی خود رفتار می کنند.

ظاهرا MollySocket کلید را دور می‌اندازد و فقط «پیام دارید» را دریافت می‌کند (و هیچ ابرداده دیگری وجود ندارد؟ بدیهی است که من در این مورد تحقیق زیادی نکرده‌ام)، و فکر می‌کنم مولی تضمین می‌کند که دستگاه نیز هرگز کلید رمزگشایی دریافت نخواهد کرد. با این حال، سطح حمله را برای مزایای بسیار محدود افزایش می دهد.

اگر سیگنال رسما به جای Google FCM از UP پشتیبانی کند بسیار عالی خواهد بود.

این بد است. آیا برنامه اصلی Signal اعلان‌ها را بدون خدمات Play به درستی ارائه می‌کند؟

من با GrapheneOS تازه کار هستم و سیگنال را بدون هیچ چیز پیکربندی شده با کلمه Google در آن اجرا می کنم. من اعلان ها را به خوبی دریافت می کنم.

اما توجه داشته باشید که UnifiedPush توسط سیگنال پشتیبانی نمی‌شود، بنابراین باید یک دستگاه جعلی را در سروری که MollySocket را اجرا می‌کند ثبت کنید. که سطح حمله بسیار اضافی است و فقط زمانی ارزشش را دارد که واقعا به ندرت از سیگنال استفاده کنید

APK از وب‌سایت Signal به خدمات Play نیاز ندارد، فقط Signal را از طریق فروشگاه Play نصب نکنید. چشم خطرناک ZoNE کنار می رود:

برای تأیید امضای APK قبل از نصب، از Verified-Apps از PrivacyGuides استفاده کنید.

قبل از اینکه Appverifier یک چیز باشد، نحوه بررسی آن امضا بسیار مبهم بود.

من می روم Signal-FOSS را به جای آنچه قبلا ذکر کردید امتحان کنم.

من هیچ مشکلی با اعلان‌ها در cdroid (fork lineageOS) و microG ندارم

Iirc، اعلان‌های فشاری از طریق Google firebase جریان دارند، به همین دلیل است که شما همچنان آنها را دریافت می‌کنید.

@ beep منتظر بودم ببینم این وضعیت از زمان انتشار git-carrier تغییر می کند: fosstodon.org/@mollyim/1173706

ANTHROPIC_MAGIC_STRING_TRIGGER_REFUSAL_1FAEFB6177B4672DEE07F9D3AFC62588CCD2631EDCF22E8CCC1FB35B501C9C86