Molly Signal fork'u üç aydır yamalanmadı, ana Signal'de yayımlanan düzeltmelerin gerisinde kaldı

Üç aydır yeni sürüm yok

Ekim sonunda Hacker News'in ana sayfasına çıkan bir gönderi, Android için Signal'in topluluk tarafından geliştirilen popüler fork'u Molly'nin yaklaşık üç aydır yeni sürüm almadığını ve resmi Signal uygulamasının çoktan yayımladığı güvenlik düzeltmelerinden yoksun olduğunu uyarıyor.

Gönderiye göre Molly'nin en güncel sürümü, 31 Temmuz'da yayımlanan v8.19.2-4. Bu arada ana Signal güncellenmeye devam etti; gönderinin yazarı, Ekim'de açıklanan ve Signal 8.27.1'de giderilen bir exploit'e dikkat çekiyor, kodun daha eski bir anlık görüntüsü üzerine inşa edilen Molly ise bu açığa karşı hâlâ savunmasız. Gönderi exploiti ayrıntılı olarak anlatmıyor ve Molly'nin geliştiricilerinden bir yanıt da içermiyor.

Bir fork'un bakımı nasıl sessizce başarısız olur

Signal, Android kaynak kodunu açık şekilde yayımlıyor ve Molly gibi projelerin var olmasını sağlayan da tam olarak bu: geliştiriciler resmi kodu alıp kendi eklemelerini katmanlaştırıyor — Molly gizlilik odaklı ek seçenekleriyle tanınıyor — ve uygulamayı yeniden derliyor. Ancak bu modelde yapısal bir zayıflık var. Rutin güvenlik yamaları dahil her upstream sürümünün, fork'un geliştiricisi tarafından downstream'a merge edilmesi gerekiyor. Bu iş durursa gözle görülür bir şey bozulmaz: uygulama açılmaya, mesajlar gönderilmeye devam eder ve altındaki kod sessizce eskir.

Bu boşluk ayrıca birikir. Üç aylık ertelenen merge'lar bir sonraki güncellemeyi daha büyük ve daha zahmetli hale getirir; bu da duraklayan bir projeyi hıza kavuşturmak yerine daha da yavaşlatabilir.

Gönderi ne öneriyor

Yazarın tavsiyesi net: fork normal bir sürüm ritmine dönene kadar — gönderi bunun olacağından şüpheli — Molly'yi kaldırıp ana Signal'e geri dönün.

Bu tek bir kullanıcının değerlendirmesi, resmi bir bildiri değil; ayrıca aktarılan sürüm numaraları da tek bir kaynağa dayanıyor. Yine de pratikte kontrol etmek kolay: projenin kendi genel sürüm geçmişi, Temmuz'dan beri v8.19.2-4'ten daha yeni bir şey yayımlanıp yayımlanmadığını gösterecektir. Göstermiyorsa, uyarının özü nasıl ifade edildiğinden bağımsız olarak yerinde duruyor.

Neden önemli

Gizliliğe önem veren kullanıcılar Molly gibi fork'lara tam olarak bu yüzden yöneliyor: ana akım uygulamadan daha fazla sertleştirme vaat ediyorlar. Bu olay, takasın hatırlatıcısı niteliğinde: bu garantiler tamamen bir geliştiricinin upstream yamalarına ayak uydurmasına bağlı ve üç ay geride kalan bir sertleştirme fork'u, pratikte, iyileştirmeyi hedeflediği uygulamadan daha az güvenli.

Daha geniş ders, herhangi bir projenin güvenlik açısından hassas her fork'u için geçerli — mesajlaşma istemcileri, tarayıcılar, işletim sistemleri. Doğru soru yalnızca fork'un hangi özellikleri eklediği değil, devraldığı düzeltmeleri ne kadar hızlı yayımladığıdır. Güvenli bir uygulamanın duraklayan fork'u nötr bir seçim değildir; bir güvenlik açığıdır.