Informazioni sui falsi positivi dei software di sicurezza

Descrizione del problema

Dopo aver scaricato il pacchetto di installazione .exe o l'archivio .zip di WSL Dashboard, Windows Defender o altri software antivirus potrebbero mostrare un avviso di sicurezza, segnalando che il file presenta un rischio o bloccandone/eliminandone direttamente l'esecuzione.

Perché succede?

Si tratta di un falso positivo, non di un file realmente infetto da virus.

La causa principale è: questo progetto non ha acquistato un certificato di firma del codice EV (Extended Validation).

Che cos'è un certificato di firma del codice?

Il certificato di firma del codice serve a firmare digitalmente i file eseguibili, dimostrando che il file proviene da un editore attendibile e non è stato manomesso. Windows applica controlli di sicurezza più severi ai programmi firmati senza firma o con certificati ordinari.

Differenze tra i tipi di certificato

Tipo di certificato	Prezzo	Criterio SmartScreen
Nessuna firma	Gratuito	Blocco diretto, marcato come "editore sconosciuto"
Certificato OV ordinario	Centinaia di yuan/anno	Viene comunque mostrato un avviso; è necessario accumulare reputazione
Certificato EV	Migliaia di yuan/anno	Approvazione immediata, nessun avviso

I programmi firmati senza certificato EV vengono marcati per impostazione predefinita come non sicuri da Windows SmartScreen, e anche gli antivirus tendono a riconoscerli più facilmente come minacce potenziali.

Informazioni sulla sicurezza dei file

Nessuna preoccupazione: il processo di build di questo progetto è completamente trasparente e verificabile:

1. Codice open source: tutto il codice sorgente è ospitato su GitHub; chiunque può esaminarlo
2. Build automatizzata: i file exe vengono generati automaticamente dai workflow di GitHub Actions sui server di GitHub, senza alcun intervento umano nell'intero processo
3. Build tracciabile: ogni build dispone di una registrazione completa dei log, consultabile nella pagina di GitHub Actions
4. Rilascio a zero contatti: gli sviluppatori non possono inserire codice dannoso durante il processo di build; il file passa dalla generazione al rilascio e al download in modo completamente automatico

In breve: i file exe non passano mai dalle mani dello sviluppatore; non esiste la possibilità che vengano "avvelenati".

Soluzioni

Soluzione 1: aggiungere alla whitelist (consigliata agli utenti normali)

Quando Windows Defender blocca:

1. Aprire "Centro sicurezza di Windows" → "Protezione da virus e minacce"
2. Fare clic su "Cronologia protezione"
3. Trovare l'elemento bloccato e fare clic su "Azioni" → "Consenti"

Oppure aggiungere un'esclusione prima del download:

1. Aprire "Centro sicurezza di Windows" → "Protezione da virus e minacce" → "Gestisci impostazioni"
2. Scorrere fino a trovare "Esclusioni" e fare clic su "Aggiungi o rimuovi esclusioni"
3. Aggiungere la directory di download come esclusione

Antivirus di terze parti: aggiungere il file o la directory scaricati all'elenco di trust nel software corrispondente.

Soluzione 2: compilare dal codice sorgente (consigliata agli sviluppatori)

Se si hanno ancora dubbi sui binari precompilati, è possibile clonare il codice sorgente e compilare in locale:

# Clona il repository
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# Compila la versione Release
cargo build --release

# L'output della compilazione si trova nella directory target/release/

In questo modo si può verificare completamente il contenuto del codice eseguito.

Soluzione 3: acquistare un certificato EV (per gli sviluppatori)

L'acquisto di un certificato di firma del codice EV può risolvere il problema dei falsi positivi alla radice, ma comporta le seguenti difficoltà concrete:

• Costo elevato: un certificato EV costa diverse migliaia di yuan all'anno
• Costo continuo: il certificato deve essere rinnovato ogni anno, è un onere a lungo termine
• Natura del progetto: WSL Dashboard è un progetto open source senza scopo di lucro; sostenere questa spesa è difficile

Se si desidera sostenere lo sviluppo di questo progetto, è possibile donare tramite i canali di sponsorizzazione nella pagina principale del progetto, aiutando gli sviluppatori a coprire i costi operativi come i certificati.

Riepilogo

• Il blocco dei file è dovuto alla mancanza di un certificato di firma del codice EV, non a un virus
• Tutti gli artefatti di build vengono generati automaticamente da GitHub Actions, processo trasparente e verificabile
• Gli utenti possono risolvere il problema aggiungendo alla whitelist o compilando autonomamente
• L'acquisto di un certificato EV risolve il problema alla radice, ma rappresenta un onere economico per un progetto senza scopo di lucro

Grazie per la comprensione e il supporto!