Bản fork Molly của Signal bị bỏ bê 3 tháng, tồn tại lỗ hổng bảo mật nghiêm trọng

Molly, bản fork mã nguồn mở của ứng dụng nhắn tin mã hóa Signal, đã không nhận được bản cập nhật nào kể từ ngày 31/7. Điều này đồng nghĩa với việc người dùng Molly đang phải đối mặt với những lỗ hổng bảo mật mà phiên bản Signal chính thức đã vá từ lâu.

Biểu tượng ứng dụng nhắn tin mã hóa

Molly là gì và vì sao người dùng quan tâm?

Molly là một bản fork độc lập của Signal, được phát triển nhằm bổ sung các tính năng mà ứng dụng gốc chưa cung cấp, chẳng hạn như khóa cơ sở dữ liệu bằng mật khẩu, hỗ trợ nhiều tài khoản trên cùng thiết bị và khả năng chạy không cần dịch vụ Google Play. Với những ai quan tâm đến quyền riêng tư và tự do phần mềm, Molly từng là lựa chọn hấp dẫn.

Tuy nhiên, vì là bản fork, Molly phụ thuộc hoàn toàn vào đội ngũ phát triển riêng để đồng bộ các bản vá bảo mật từ Signal gốc. Khi việc đồng bộ này bị gián đoạn, khoảng cách bảo mật giữa hai phiên bản sẽ ngày càng lớn.

Khoảng cách bảo mật đang nới rộng

Theo thông tin được chia sẻ trên cộng đồng PieFed, bản phát hành mới nhất của Molly là v8.19.2-4, ra mắt ngày 31/7. Trong khi đó, Signal chính thức đã tiến xa hơn nhiều phiên bản.

Ví dụ rõ ràng nhất là lỗ hổng khai thác được công bố vào tháng 10 vừa qua. Lỗ hổng này đã được vá trong Signal 8.27.1, nhưng Molly vẫn chưa có bản cập nhật tương ứng và do đó vẫn tồn tại nguy cơ bị tấn công.

"Hiện tại, chúng tôi khuyến nghị sử dụng Signal chính thức và xóa Molly cho đến khi họ quay lại cập nhật ứng dụng đầy đủ, nếu điều đó có xảy ra."

Đây không phải lần đầu tiên các bản fork của ứng dụng nhắn tin mã hóa gặp vấn đề về duy trì bản vá. Bài học từ các dự án tương tự cho thấy người dùng thường đánh giá thấp rủi ro khi sử dụng phiên bản do bên thứ ba phát triển.

Người dùng Việt Nam cần lưu ý gì?

Tại Việt Nam, các ứng dụng nhắn tin mã hóa đầu cuối như Signal, Telegram hay WhatsApp ngày càng được ưa chuộng trong bối cảnh lo ngại về quyền riêng tư dữ liệu. Những người dùng chọn Molly thường là các cá nhân am hiểu công nghệ, nhà báo, nhà nghiên cứu hoặc những ai làm việc trong môi trường nhạy cảm.

Biểu tượng Reddit minh họa thảo luận cộng đồng

Với nhóm người dùng này, việc sử dụng một ứng dụng đã "đóng băng" cập nhật suốt 3 tháng là rủi ro không đáng có. Các khuyến nghị cụ thể:

• Chuyển về Signal chính thức nếu không thực sự cần các tính năng đặc thù của Molly
• Theo dõi kho mã nguồn của Molly để nắm tình hình cập nhật
• Không coi bản fork là lựa chọn thay thế tương đương về mặt bảo mật
• Sao lưu dữ liệu trò chuyện trước khi chuyển đổi để tránh mất tin nhắn

Bài học về niềm tin vào bản fork

Sự việc Molly là lời nhắc nhở rằng mã nguồn mở không tự động đồng nghĩa với an toàn. Một dự án chỉ thực sự đáng tin khi có đội ngũ duy trì tích cực và quy trình đồng bộ bản vá minh bạch. Với các ứng dụng liên quan đến bảo mật và quyền riêng tư, khoảng cách vài tháng về bản vá có thể là khác biệt giữa an toàn và bị xâm nhập.

Người dùng nên coi trọng yếu tố "được cập nhật thường xuyên" ngang với danh sách tính năng khi lựa chọn công cụ liên lạc cho mình.