O fałszywych alarmach programów antywirusowych

Opis problemu

Po pobraniu pliku instalacyjnego .exe lub archiwum .zip WSL Dashboard Windows Defender lub inny program antywirusowy może wyświetlić ostrzeżenie bezpieczeństwa, zgłosić, że plik stanowi zagrożenie, lub bezpośrednio zablokować/usunąć go.

Dlaczego tak się dzieje?

To fałszywy alarm — plik w rzeczywistości nie zawiera wirusa.

Główna przyczyna: projekt nie zakupił certyfikatu podpisywania kodu EV (Extended Validation).

Co to jest certyfikat podpisywania kodu?

Certyfikat podpisywania kodu służy do cyfrowego podpisywania plików wykonywalnych, potwierdzając, że plik pochodzi od zaufanego wydawcy i nie został zmodyfikowany. System Windows stosuje bardziej rygorystyczne kontrole bezpieczeństwa wobec programów niepodpisanych lub podpisanych zwykłym certyfikatem.

Różnice między typami certyfikatów

Typ certyfikatu	Koszt	Polityka SmartScreen
Bez podpisu	Bezpłatnie	Bezpośrednia blokada, oznaczenie „Nieznany wydawca”
Zwykły certyfikat OV	Kilkaset zł/rok	Ostrzeżenie nadal się pojawia, potrzebna reputacja
Certyfikat EV	Kilka tysięcy zł/rok	Przechodzi natychmiast, bez ostrzeżeń

Programy niepodpisane certyfikatem EV są domyślnie oznaczane przez Windows SmartScreen jako niebezpieczne, a programy antywirusowe łatwiej rozpoznają je jako potencjalne zagrożenie.

O bezpieczeństwie plików

Nie martw się: proces kompilacji tego projektu jest w pełni przejrzysty i audytowalny:

1. Otwarty kod źródłowy: cały kod źródłowy jest hostowany na GitHubie — każdy może go przejrzeć
2. Automatyczna kompilacja: plik exe jest automatycznie budowany przez przepływy pracy GitHub Actions na serwerach GitHub — cały proces odbywa się bez ingerencji człowieka
3. Możliwa do prześledzenia kompilacja: każda kompilacja ma pełny dziennik, który można obejrzeć na stronie GitHub Actions
4. Publikacja bez kontaktu z deweloperem: deweloper nie może wstrzyknąć złośliwego kodu w procesie kompilacji; od ukończenia kompilacji po publikację i pobranie cały proces jest zautomatyzowany

Krótko mówiąc: plik exe nigdy nie przechodzi przez ręce dewelopera — możliwość „zatrucia” jest wykluczona.

Rozwiązania

Sposób 1: Dodanie do listy zaufanych (zalecane dla zwykłych użytkowników)

Gdy Windows Defender blokuje:

1. Otwórz „Zabezpieczenia Windows” → „Ochrona przed wirusami i zagrożeniami”
2. Kliknij „Historia ochrony”
3. Znajdź zablokowany element, kliknij „Działania” → „Zezwól”

Lub dodaj wykluczenie przed pobraniem:

1. Otwórz „Zabezpieczenia Windows” → „Ochrona przed wirusami i zagrożeniami” → „Zarządzanie ustawieniami”
2. Przewiń do „Wykluczeń”, kliknij „Dodaj lub usuń wykluczenia”
3. Dodaj katalog pobierania do wykluczeń

Programy antywirusowe innych firm: dodaj pobrany plik lub katalog do listy zaufanych w odpowiednim oprogramowaniu.

Sposób 2: Kompilacja ze źródeł (zalecane dla deweloperów)

Jeśli nadal masz wątpliwości co do gotowych plików binarnych, możesz sklonować kod źródłowy i skompilować go lokalnie:

# Klonowanie repozytorium
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# Kompilacja wersji Release
cargo build --release

# Artefakty kompilacji znajdują się w katalogu target/release/

W ten sposób możesz w pełni potwierdzić zawartość uruchamianego kodu.

Sposób 3: Zakup certyfikatu EV (dla deweloperów)

Zakup certyfikatu podpisywania kodu EV może rozwiązać fałszywe alarmy u źródła, ale wiąże się z następującymi praktycznymi trudnościami:

• Wysoki koszt: certyfikat EV kosztuje kilka tysięcy złotych rocznie
• Stałe koszty: certyfikat wymaga corocznego odnawiania — to długoterminowe obciążenie
• Charakter projektu: WSL Dashboard to niedochodowy projekt open source, któremu trudno ponieść te wydatki

Jeśli chcesz wesprzeć rozwój projektu, możesz przekazać darowiznę przez kanały sponsoringu na stronie głównej projektu, pomagając deweloperowi pokryć koszty certyfikatów i inne wydatki operacyjne.

Podsumowanie

• Blokada pliku wynika z braku certyfikatu podpisywania kodu EV — to nie wirus
• Wszystkie artefakty kompilacji są automatycznie generowane przez GitHub Actions — proces przejrzysty i audytowalny
• Użytkownik może rozwiązać problem, dodając plik do białej listy lub kompilując ze źródeł
• Zakup certyfikatu EV rozwiązuje problem u źródła, ale stanowi obciążenie finansowe dla niedochodowego projektu

Dziękujemy za zrozumienie i wsparcie!