Megjegyzés a biztonsági szoftverek hamis pozitív jelzéseiről

Probléma leírása

A WSL Dashboard .exe telepítőjének vagy .zip tömörített csomagjának letöltése után a Windows Defender vagy más vírusirtó biztonsági figyelmeztetést jeleníthet meg, jelezve, hogy a fájl kockázatot jelent, vagy közvetlenül blokkolhatja/törölheti azt.

Miért fordul elő ez?

Ez hamis pozitív jelzés, nem azt jelenti, hogy a fájl valóban vírust tartalmaz.

A kiváltó ok: a projekt nem vásárolt EV (Extended Validation) kódaláírási tanúsítványt.

Mi az a kódaláírási tanúsítvány?

A kódaláírási tanúsítvány az végrehajtható fájlok digitális aláírására szolgál, igazolva, hogy a fájl megbízható kiadótól származik, és nem módosították. A Windows szigorúbb biztonsági ellenőrzést alkalmaz a nem aláírt vagy hétköznapi tanúsítvánnyal aláírt programoknál.

A tanúsítványtípusok közötti különbségek

Tanúsítványtípus	Ár	SmartScreen-szabályzat
Aláírás nélkül	Ingyenes	Közvetlen blokkolás, "ismeretlen kiadó" jelöléssel
Hétköznapi OV tanúsítvány	Több ezer forint/év	Továbbra is figyelmeztetést jelenít meg, bizalmat kell kivívnia
EV tanúsítvány	Több tízezer forint/év	Azonnal átmegy, figyelmeztetés nélkül

Az EV tanúsítvánnyal nem aláírt programokat a Windows SmartScreen alapértelmezés szerint nem biztonságosként jelöli meg, és a vírusirtók is könnyebben potenciális fenyegetésként ismerik fel őket.

A fájl biztonságáról

Ne aggódjon, a projekt építési folyamata teljesen átlátható és auditálható:

1. Nyílt forráskód: Minden forráskód a GitHub-on található, bárki áttekintheti
2. Automatizált építés: Az exe fájlokat a GitHub Actions munkafolyamatok automatikusan, a GitHub szerverein állítják elő, emberi beavatkozás nélkül
3. Követhető építés: Minden egyes build teljes naplóval rendelkezik, megtekinthető a GitHub Actions oldalon
4. Nulla érintkezésű kiadás: A fejlesztő nem tud rosszindulatú kódot beszúrni az építési folyamatba; a fájl az építéstől a kiadásig és letöltésig teljesen automatizált

Egyszerűen fogalmazva: az exe fájl soha nem ment át a fejlesztő kezén, nem lehet "megmérgezve".

Megoldások

1. megoldás: Hozzáadás a megbízható fehérlistához (hétköznapi felhasználóknak ajánlott)

Amikor a Windows Defender blokkolja:

1. Nyissa meg a "Windows Biztonsági központot" → "Vírus- és fenyegetésvédelem"
2. Kattintson a "Védelmi előzmények" elemre
3. Keresse meg a blokkolt elemet, kattintson a "Művelet" → "Engedélyezés" gombra

Vagy adjon hozzá kizárást a letöltés előtt:

1. Nyissa meg a "Windows Biztonsági központot" → "Vírus- és fenyegetésvédelem" → "Beállítások kezelése"
2. Görgessen le a "Kizárások" elemhez, kattintson a "Kizárások hozzáadása vagy eltávolítása" gombra
3. Adja hozzá a letöltési könyvtárat kizárásként

Harmadik féltől származó vírusirtók: Adja hozzá a letöltött fájlt vagy könyvtárat a megfelelő szoftver megbízható listájához.

2. megoldás: Fordítás forrásból (fejlesztőknek ajánlott)

Ha továbbra is aggályai vannak az előre lefordított binárissal kapcsolatban, klónozhatja a forráskódot, és lefordíthatja helyben:

# Tár klónozása
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# Release verzió fordítása
cargo build --release

# A lefordított fájlok a target/release/ könyvtárban találhatók

Így teljes mértékben ellenőrizheti a futtatott kód tartalmát.

3. megoldás: EV tanúsítvány vásárlása (fejlesztőknek szóló tájékoztatás)

Az EV kódaláírási tanúsítvány megvásárlása gyökeresen megoldhatja a hamis pozitív problémát, de a következő valós nehézségekkel jár:

• Magas költség: Az EV tanúsítvány évente több ezer jüanba kerül
• Folyamatos költség: A tanúsítványt évente meg kell újítani, hosszú távú teher
• Projekt jellege: A WSL Dashboard nonprofit nyílt forráskódú projekt, nehezen vállalja ezt a kiadást

Ha támogatni szeretné a projekt fejlődését, a projekt főoldalán található szponzorációs csatornán adományozhat, segítve a fejlesztőt a tanúsítvány és más működési költségek fedezésében.

Összefoglalás

• A fájl blokkolása az EV kódaláírási tanúsítvány hiányából ered, nem vírusról van szó
• Minden build-eredményt a GitHub Actions generál automatikusan, a folyamat átlátható és auditálható
• A felhasználók fehérlistára vétellel vagy saját fordítással oldhatják meg a problémát
• Az EV tanúsítvány vásárlása gyökeres megoldást jelent, de a nonprofit projekt számára anyagi terhet jelent

Köszönjük megértését és támogatását!