Molly Fork Signal Belum Update 3 Bulan, Aman Nggak Si?

Kamu pasti kenal Signal, aplikasi chat enkripsi end-to-end yang jadi standar emas privasi. Nah, Molly itu fork resmi Signal yang dikembangkan komunitas open source — bedanya, Molly nambahin fitur database encryption lokal yang nggak ada di versi asli. Fitur ini bikin pesan kamu tetap aman kalau HP dicuri atau di-root, soalnya database-nya di-enkripsi pakai passphrase terpisah. Banyak user privacy-advocate yang pilih Molly justru karena layer tambahan ini.

Tapi kabar terbaru dari thread Hacker News bikin hati-hati: repositori Molly di GitHub udah 3 bulan nggak dapet commit baru. Rilis terakhir masih versi 1.18.0 yang keluar sekitar April 2024. Padahal Signal upstream sendiri rutin ngerilis update keamanan dan perbaikan bug hampir setiap minggu. Artinya, Molly ketinggalan banyak patch penting — termasuk yang mungkin ngatasin celah zero-day atau vulnerability di library yang dipakai.

Kenapa fork ini bisa diam-diam tertinggal

Maintainer Molly sebenarnya cuma segelintir orang — bahkan mungkin cuma satu orang aktif yang handle merge dan release. Berbeda dengan Signal yang punya tim penuh dan funding dari Signal Foundation, Molly bergantung sepenuhnya pada kontribusi sukarela. Kalau maintainer utama sibuk, sakit, atau kehilangan minat, seluruh proyek bisa macet. Di thread HN, beberapa kontributor bilang mereka udah coba submit PR tapi nggak dapet review atau merge sejak berbulan-bulan.

Masalah teknisnya juga nggak sepele. Molly harus rebase terus ke upstream Signal setiap kali ada rilis baru. Proses ini manual dan butuh testing ketat biar fitur database encryption nggak bentrok dengan perubahan kode Signal. Kalau maintainer nggak sempat, rilis baru Signal nggak bisa langsung diadopsi. User yang tetap pakai Molly versi lama berarti nggak dapet proteksi terbaru dari Signal — termasuk perbaikan untuk vulnerability di WebRTC, libsignal-protocol, atau komponen native lainnya.

Risiko nyata buat kamu yang masih pakai Molly

Kalau kamu masih pakai Molly versi April 2024, HP kamu mungkin rentan terhadap eksploit yang udah di-patch di Signal terbaru. Contoh nyata: beberapa bulan lalu ada celah di image processing library yang bisa dieksploit lewat gambar jahat dikirim ke target. Signal udah patch, tapi Molly belum. Kalau kamu terima gambar dari orang random — atau bahkan kontak yang akunnya di-hijack — HP bisa dikuasai remote. Database encryption lokal Molly nggak bisa nge-block eksploit level OS/library kayak gini.

Lalu, apakah harus panik dan uninstall sekarang? Nggak harus buru-buru. Risikonya bergantung dari threat model kamu. Kalau kamu aktivis, jurnalis, atau handle data sensitif — sebaiknya migrasi ke Signal resmi dulu sampai Molly aktif lagi. Tapi kalau kamu user biasa yang cuma chat sama temen-keluarga, risikonya lebih rendah. Tapi tetap, best practice keamanan: selalu pakai versi terbaru. Nggak ada alasan kuat tetep di versi lama yang nggak dapet patch 3 bulan.

• Cek versi Molly di Settings > About — kalau versi 1.18.0 atau lebih lama, kamu ketinggalan 3+ bulan patch
• Backup data lokal Molly (kalau perlu), lalu install Signal resmi dari Play Store atau F-Droid
• Pantau repo GitHub Molly (mollyim/molly-android) untuk tanda-tanda aktivitas baru
• Pertimbangkan Session atau SimpleX kalau butuh alternatif decentralized tanpa nomor HP

Pelajaran buat ekosistem fork open source

Kasus Molly ini mengingatkan kita soal kelemahan fundamental model fork komunitas: bus factor. Proyek yang bergantung pada 1-2 maintainer sukarela rapuh banget. Signal Foundation sebenarnya mendukung ekosistem fork — mereka punya program "Signal Forks" yang kasih akses early ke rilis dan koordinasi keamanan. Tapi Molly nggak terdaftar di program resmi itu, jadi mereka harus ngikutin rilis publik seperti user biasa. Ini bikin delay update jadi tidak terhindarkan.

Buat kamu yang peduli privasi, ini juga reminder: jangan cuma pilih aplikasi karena fitur keren di kertas. Tanyakan: siapa maintainer-nya? Seberapa aktif komunitasnya? Ada funding nggak? Proyek open source yang sehat butuh lebih dari kode bagus — butuh keberlanjutan organisasi. Molly punya kode bagus dan niat mulia, tapi tanpa maintainer aktif, fitur keamanan tambahannya jadi sia-sia karena dasarnya sudah usang.