Tentang Positif Palsu dari Perangkat Lunak Keamanan

Deskripsi Masalah

Setelah mengunduh paket instalasi .exe atau paket terkompresi .zip WSL Dashboard, Windows Defender atau antivirus lain mungkin memunculkan peringatan keamanan, menunjukkan file berisiko atau langsung memblokir dan menghapusnya.

Mengapa Hal Ini Terjadi?

Ini adalah positif palsu, bukan berarti file tersebut benar-benar membawa virus.

Akar penyebabnya adalah: Proyek ini belum membeli sertifikat penandatanganan kode EV (Extended Validation).

Apa itu Sertifikat Penandatanganan Kode?

Sertifikat penandatanganan kode digunakan untuk menandatangani file yang dapat dieksekusi secara digital, membuktikan bahwa file tersebut berasal dari penerbit tepercaya dan tidak diubah. Windows melakukan pemeriksaan keamanan yang lebih ketat terhadap program yang tidak ditandatangani atau ditandatangani dengan sertifikat biasa.

Perbedaan Jenis Sertifikat

Jenis Sertifikat	Harga	Kebijakan SmartScreen
Tanpa tanda tangan	Gratis	Langsung diblokir, ditandai sebagai "penerbit tidak dikenal"
Sertifikat OV biasa	Ratusan yuan/tahun	Masih memunculkan peringatan, perlu mengumpulkan reputasi
Sertifikat EV	Ribuan yuan/tahun	Langsung lolos, tanpa peringatan

Program yang tidak ditandatangani dengan sertifikat EV akan ditandai sebagai tidak aman secara default oleh Windows SmartScreen, dan antivirus juga lebih mudah mengidentifikasinya sebagai ancaman potensial.

Tentang Keamanan File

Tenang, proses build proyek ini sepenuhnya transparan dan dapat diaudit:

1. Kode sumber terbuka: Semua kode sumber di-hosting di GitHub, siapa pun dapat meninjaunya
2. Build otomatis: File exe dibuat secara otomatis oleh workflow GitHub Actions di server GitHub, seluruh proses tanpa campur tangan manusia
3. Build dapat ditelusuri: Setiap build memiliki catatan log lengkap, dapat dilihat di halaman GitHub Actions
4. Rilis tanpa kontak: Pengembang tidak dapat menyisipkan kode berbahaya apa pun selama proses build, file otomatis dari selesainya build hingga rilis dan unduhan

Sederhananya: file exe tidak pernah melalui tangan pengembang, tidak ada kemungkinan "diracun".

Solusi

Solusi 1: Menambahkan ke Whitelist Kepercayaan (Disarankan untuk Pengguna Umum)

Saat diblokir oleh Windows Defender:

1. Buka "Windows Security Center (Pusat Keamanan Windows)" → "Virus & threat protection (Perlindungan virus dan ancaman)"
2. Klik "Protection history (Riwayat perlindungan)"
3. Temukan item yang diblokir, klik "Actions (Tindakan)" → "Allow (Izinkan)"

Atau tambahkan pengecualian sebelum mengunduh:

1. Buka "Windows Security Center" → "Virus & threat protection" → "Manage settings (Kelola pengaturan)"
2. Gulir ke bawah temukan "Exclusions (Pengecualian)", klik "Add or remove exclusions (Tambah atau hapus pengecualian)"
3. Tambahkan direktori unduhan sebagai pengecualian

Antivirus pihak ketiga: Silakan tambahkan file atau direktori yang diunduh ke daftar kepercayaan di perangkat lunak yang bersangkutan.

Solusi 2: Kompilasi dari Kode Sumber (Disarankan untuk Pengembang)

Jika Anda masih ragu dengan biner pra-kompilasi, Anda dapat mengklon kode sumber dan mengompilasinya di lokal:

# Klon repositori
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# Kompilasi versi Release
cargo build --release

# Hasil kompilasi berada di direktori target/release/

Dengan cara ini Anda dapat sepenuhnya memastikan konten kode yang dijalankan.

Solusi 3: Membeli Sertifikat EV (Penjelasan untuk Pengembang)

Membeli sertifikat penandatanganan kode EV dapat menyelesaikan masalah positif palsu dari akar, tetapi menghadapi kesulitan realistis berikut:

• Biaya tinggi: Sertifikat EV memerlukan ribuan yuan setiap tahun
• Biaya berkelanjutan: Sertifikat perlu diperbarui setiap tahun, merupakan beban jangka panjang
• Sifat proyek: WSL Dashboard adalah proyek open source nirlaba, sulit menanggung biaya ini

Jika Anda ingin mendukung perkembangan proyek ini, Anda dapat berdonasi melalui saluran sponsor di halaman utama proyek, membantu pengembang menutupi biaya operasional seperti sertifikat.

Ringkasan

• File diblokir karena kurangnya sertifikat penandatanganan kode EV, bukan virus
• Semua artefak build dibuat otomatis oleh GitHub Actions, proses transparan dan dapat diaudit
• Pengguna dapat menyelesaikan masalah ini dengan menambahkan whitelist atau mengompilasi sendiri
• Membeli sertifikat EV dapat menyelesaikan dari akar, tetapi ada tekanan ekonomi untuk proyek nirlaba

Terima kasih atas pengertian dan dukungan Anda!