Falešně pozitivní

Popis problému

Po stažení instalačního balíčku .exe nebo komprimovaného balíčku .zip WSL Dashboard může Windows Defender nebo jiný antivirový software zobrazit bezpečnostní varování, že soubor představuje riziko, případně jej přímo zablokovat a smazat.

Proč k tomu dochází?

Jedná se o falešně pozitivní výsledek, nikoli o skutečný virus v souboru.

Hlavní příčinou je: tento projekt nemá zakoupen certifikát pro podepisování kódu EV (Extended Validation).

Co je to certifikát pro podepisování kódu?

Certifikát pro podepisování kódu slouží k digitálnímu podepsání spustitelných souborů, čímž dokazuje, že soubor pochází od důvěryhodného vydavatele a nebyl změněn. Systém Windows uplatňuje přísnější bezpečnostní kontroly na programy, které nejsou podepsané nebo jsou podepsané běžným certifikátem.

Rozdíly mezi typy certifikátů

Typ certifikátu	Cena	Zásady SmartScreen
Bez podpisu	Zdarma	Přímé zablokování, označeno jako „neznámý vydavatel“
Běžný certifikát OV	Stovky korun/rok	Stále zobrazuje varování, je třeba budovat reputaci
Certifikát EV	Tisíce korun/rok	Okamžitě projde, bez varování

Programy, které nejsou podepsané certifikátem EV, systém Windows SmartScreen ve výchozím nastavení označí jako nebezpečné a antivirový software je také snáze rozpozná jako potenciální hrozbu.

O bezpečnosti souborů

Buďte si jisti, že proces sestavení tohoto projektu je zcela transparentní a auditovatelný:

1. Open source kód: veškerý zdrojový kód je hostován na GitHubu; kdokoli ho může zkontrolovat
2. Automatizované sestavení: soubory exe automaticky sestavuje pracovní postup GitHub Actions na serverech GitHubu; celý proces probíhá bez lidského zásahu
3. Zpětně dohledatelné sestavení: každé sestavení má kompletní záznam protokolů, který lze zobrazit na stránce GitHub Actions
4. Vydávání bez zásahu: vývojáři nemohou během procesu sestavení vložit žádný škodlivý kód; soubor je od dokončení sestavení až po zveřejnění a stažení plně automatizovaný

Jednoduše řečeno: soubor exe nikdy neprošel rukama vývojáře, nehrozí žádné „otrávení“.

Řešení

Řešení 1: Přidání do důvěryhodné whitelisty (doporučeno pro běžné uživatele)

Když zablokuje Windows Defender:

1. Otevřete „Centrum zabezpečení Windows“ → „Ochrana před viry a hrozbami“
2. Klikněte na „Historie ochrany“
3. Najděte zablokovanou položku a klikněte na „Akce“ → „Povolit“

Nebo přidejte výjimku před stažením:

1. Otevřete „Centrum zabezpečení Windows“ → „Ochrana před viry a hrozbami“ → „Spravovat nastavení“
2. Posuňte se dolů na „Výjimky“ a klikněte na „Přidat nebo odebrat výjimky“
3. Přidejte adresář stažení jako výjimku

Antivirus třetí strany: přidejte stažený soubor nebo adresář do seznamu důvěryhodných v příslušném programu.

Řešení 2: Kompilace ze zdrojového kódu (doporučeno pro vývojáře)

Pokud máte i nadále obavy z předkompilovaných binárek, můžete zdrojový kód naklonovat a zkompilovat lokálně:

# Naklonování repozitáře
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# Kompilace verze Release
cargo build --release

# Výstup sestavení je v adresáři target/release/

Tím si můžete plně ověřit obsah běžícího kódu.

Řešení 3: Zakoupení certifikátu EV (informace pro vývojáře)

Zakoupení certifikátu EV pro podepisování kódu může vyřešit falešně pozitivní výsledky u kořene, ale čelí následujícím reálným obtížím:

• Vysoké náklady: certifikát EV stojí každý rok tisíce korun
• Průběžné náklady: certifikát je třeba každoročně obnovovat, jde o dlouhodobou zátěž
• Povaha projektu: WSL Dashboard je neziskový open source projekt, který si takové výdaje těžko může dovolit

Pokud chcete podpořit rozvoj tohoto projektu, můžete přispět prostřednictvím sponzorských kanálů na hlavní stránce projektu a pomoci tak vývojáři pokrýt náklady na certifikát a další provozní výdaje.

Shrnutí

• Blokování souborů je způsobeno chybějícím certifikátem EV pro podepisování kódu, nejedná se o virus
• Všechny výstupy sestavení automaticky generuje GitHub Actions, proces je transparentní a auditovatelný
• Uživatelé mohou problém vyřešit přidáním do whitelisty nebo vlastní kompilací
• Zakoupení certifikátu EV problém vyřeší u kořene, ale pro neziskový projekt představuje ekonomickou zátěž

Děkujeme za pochopení a podporu!