Tungkol sa Maling Positibo mula sa Security Software

Paglalarawan ng Problema

Pagkatapos i-download ang .exe installation package o .zip compressed package ng WSL Dashboard, maaaring magpakita ang Windows Defender o iba pang antivirus software ng security warning, na nagsasabing ang file ay may panganib o direktang hinaharang at tinatanggal.

Bakit Nangyayari Ito?

Ito ay maling positibo (false positive), hindi nangangahulugang ang file ay talagang nagdadala ng virus.

Ang pangunahing dahilan ay: Hindi bumili ang proyektong ito ng EV (Extended Validation) code signing certificate.

Ano ang Code Signing Certificate?

Ang code signing certificate ay ginagamit upang digitally sign ang mga executable file, na nagpapatunay na ang file ay nagmumula sa mapagkakatiwalaang publisher at hindi nabago. Ang Windows ay nagsasagawa ng mas mahigpit na security check sa mga programang hindi naka-sign o naka-sign ng ordinaryong certificate.

Pagkakaiba ng Mga Uri ng Certificate

Uri ng Certificate	Presyo	Patakaran ng SmartScreen
Walang sign	Libre	Direktang hinaharang, minamarkahan bilang "unknown publisher"
Ordinaryong OV certificate	Daan-daang yuan/taon	Magpapakita pa rin ng babala, kailangang mag-ipon ng reputasyon
EV certificate	Libo-libong yuan/taon	Direktang pumapasa, walang babala

Ang mga programang hindi naka-sign ng EV certificate ay minamarkahan bilang hindi ligtas ng Windows SmartScreen bilang default, at mas madali ring nakikilala ng antivirus bilang potensyal na banta.

Tungkol sa Kaligtasan ng File

Makatitiyak ka, ang proseso ng pagbuo ng proyektong ito ay ganap na transparent at maaaring i-audit:

1. Open source code: Lahat ng source code ay naka-host sa GitHub, sinuman ay maaaring mag-review
2. Awtomatikong pagbuo: Ang mga exe file ay awtomatikong ginagawa ng GitHub Actions workflow sa mga server ng GitHub, ang buong proseso ay walang interbensyon ng tao
3. Maaaring masubaybayan ang build: Bawat build ay may kumpletong log records, maaaring tingnan sa GitHub Actions page
4. Zero-contact release: Ang mga developer ay hindi makakapagpasok ng anumang malisyosong code sa proseso ng build, ang mga file ay awtomatiko mula sa pagkumpleto ng build hanggang sa release at download

Sa madaling salita: ang mga exe file ay hindi kailanman dumaan sa mga kamay ng developer, walang posibilidad na "ma-poison".

Mga Solusyon

Solusyon 1: Idagdag sa Trust Whitelist (Inirerekomenda para sa Ordinaryong Gumagamit)

Kapag hinarang ng Windows Defender:

1. Buksan ang "Windows Security Center" → "Virus & threat protection"
2. I-click ang "Protection history"
3. Hanapin ang hinaharang item, i-click ang "Actions" → "Allow"

O magdagdag ng exclusion bago mag-download:

1. Buksan ang "Windows Security Center" → "Virus & threat protection" → "Manage settings"
2. Mag-scroll pababa, hanapin ang "Exclusions", i-click ang "Add or remove exclusions"
3. Idagdag ang download directory bilang exclusion

Third-party antivirus software: Mangyaring idagdag ang na-download na file o directory sa trust list sa kaukulang software.

Solusyon 2: Mag-compile mula sa Source Code (Inirerekomenda para sa mga Developer)

Kung may pag-aalinlangan ka pa rin sa pre-compiled binary, maaari mong direktang i-clone ang source code at mag-compile sa lokal:

# I-clone ang repository
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# I-compile ang Release version
cargo build --release

# Ang mga compiled na produkto ay nasa target/release/ directory

Sa ganitong paraan, ganap mong makumpirma ang nilalaman ng code na pinapatakbo.

Solusyon 3: Bumili ng EV Certificate (Paliwanag para sa mga Developer)

Ang pagbili ng EV code signing certificate ay maaaring malutas ang problema sa maling positibo mula sa ugat, ngunit nahaharap sa mga sumusunod na realistikong kahirapan:

• Mataas na gastos: Ang EV certificate ay nangangailangan ng libo-libong yuan bawat taon
• Patuloy na gastos: Ang certificate ay kailangang i-renew taun-taon, isang pangmatagalang pasanin
• Kalikasan ng proyekto: Ang WSL Dashboard ay isang non-profit na open source project, mahirap pasanin ang gastos na ito

Kung nais mong suportahan ang pag-unlad ng proyektong ito, maaari kang mag-donate sa pamamagitan ng sponsorship channel sa pangunahing pahina ng proyekto, tinutulungan ang developer na masakop ang mga gastos sa pagpapatakbo tulad ng certificate.

Buod

• Ang file ay hinaharang dahil sa kawalan ng EV code signing certificate, hindi virus
• Lahat ng build artifacts ay awtomatikong ginagawa ng GitHub Actions, transparent at maaaring i-audit ang proseso
• Maaaring malutas ng mga gumagamit ang problemang ito sa pamamagitan ng pagdaragdag ng whitelist o pag-compile nang mag-isa
• Ang pagbili ng EV certificate ay maaaring malutas mula sa ugat, ngunit may ekonomikong presyon para sa non-profit na proyekto

Salamat sa iyong pag-unawa at suporta!