O lažno pozitivnih rezultatih varnostne programske opreme

Opis težave

Po prenosu .exe namestitvenega paketa ali .zip arhiva WSL Dashboard lahko Windows Defender ali druga protivirusna programska oprema prikaže varnostno opozorilo, sporoči, da je datoteka tvegana, ali jo neposredno blokira in izbriše.

Zakaj do tega pride?

Gre za lažno pozitiven rezultat – datoteka dejansko ne nosi virusa.

Temeljni razlog: ta projekt ni kupil certifikata za podpisovanje kode EV (Extended Validation).

Kaj je certifikat za podpisovanje kode?

Certifikat za podpisovanje kode se uporablja za digitalni podpis izvršljivih datotek, s čimer dokazuje, da datoteka prihaja od zaupanja vrednega izdajatelja in ni bila spreminjana. Windows izvaja strožje varnostne preglede za nepodpisane programe ali programe, podpisane z običajnimi certifikati.

Razlike med vrstami certifikatov

Vrsta certifikata	Cena	Politika SmartScreen
Brez podpisa	Brezplačno	Neposredno blokiranje, označeno kot "neznani izdajatelj"
Običajni OV certifikat	Nekaj sto CNY/leto	Še vedno prikaže opozorilo, potrebno je grajenje ugleda
EV certifikat	Nekaj tisoč CNY/leto	Takojšnja odobritev, brez opozorila

Programe, ki niso podpisani z EV certifikatom, Windows SmartScreen privzeto označi kot nevarne, protivirusna programska oprema pa jih prav tako lažje prepozna kot potencialno grožnjo.

O varnosti datotek

Bodite prepričani – postopek izgradnje tega projekta je popolnoma pregleden in preverljiv:

1. Odprta koda: vsa izvorna koda je gostovana na GitHubu in jo lahko pregleda vsakdo
2. Avtomatizirana izgradnja: datoteke exe samodejno izdela delovni potek GitHub Actions na strežnikih GitHub, brez človeškega posredovanja v celotnem postopku
3. Sledljiva izgradnja: vsaka izgradnja ima popolne dnevnike, ki si jih lahko ogledate na strani GitHub Actions
4. Izdaja brez dotika: razvijalci ne morejo vstaviti nobene zlonamerne kode med izgradnjo; datoteke so od končane izgradnje do objave in prenosa v celoti avtomatizirane

Preprosto povedano: datoteke exe nikoli ne gredo skozi roke razvijalcev – možnost "zastrupitve" ne obstaja.

Rešitve

Rešitev 1: dodajanje v beli seznam (priporočeno za običajne uporabnike)

Ko Windows Defender blokira:

1. Odprite "Varnostni center Windows" → "Zaščita pred virusi in grožnjami"
2. Kliknite "Zgodovina zaščite"
3. Poiščite blokiran element, kliknite "Dejanja" → "Dovoli"

Ali dodajte izključitev pred prenosom:

1. Odprite "Varnostni center Windows" → "Zaščita pred virusi in grožnjami" → "Upravljanje nastavitev"
2. Pomaknite se navzdol do "Izključitve", kliknite "Dodaj ali odstrani izključitve"
3. Dodajte mapo za prenos kot izključitev

Protivirusna programska oprema drugih proizvajalcev: v ustrezni programski opremi dodajte preneseno datoteko ali mapo na seznam zaupanja.

Rešitev 2: prevajanje iz izvorne kode (priporočeno za razvijalce)

Če imate še vedno pomisleke glede vnaprej prevedenih binarnih datotek, lahko klonirate izvorno kodo in jo prevedete lokalno:

# Kloniraj repozitorij
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# Prevedi različico Release
cargo build --release

# Izgradnja se nahaja v mapi target/release/

Tako lahko popolnoma preverite vsebino kode, ki se izvaja.

Rešitev 3: nakup EV certifikata (pojasnilo za razvijalce)

Nakup EV certifikata za podpisovanje kode lahko lažno pozitivne rezultate odpravi pri korenu, vendar se sooča z naslednjimi realnimi ovirami:

• Visoki stroški: EV certifikat stane več tisoč CNY na leto
• Stalni stroški: certifikat je treba obnavljati letno – dolgoročno breme
• Narava projekta: WSL Dashboard je neprofitni odprtokodni projekt in si teh stroškov težko privošči

Če želite podpreti razvoj tega projekta, lahko donirate prek kanala za sponzoriranje na glavni strani projekta, s čimer razvijalcem pomagate pokriti operativne stroške, kot je certifikat.

Povzetek

• Blokiranje datoteke je posledica manjkajočega EV certifikata za podpisovanje kode, ne virusa
• Vsi izdelki izgradnje so samodejno ustvarjeni z GitHub Actions – postopek je pregleden in preverljiv
• Uporabniki lahko težavo rešijo z dodajanjem v beli seznam ali lastnim prevajanjem
• Nakup EV certifikata reši težavo pri korenu, vendar predstavlja finančno breme za neprofitni projekt

Hvala za razumevanje in podporo!