Про хибні спрацювання антивірусів

Опис проблеми

Після завантаження інсталяційного файлу .exe або архіву .zip WSL Dashboard Windows Defender або інший антивірус може видати попередження безпеки, повідомити, що файл становить ризик, або безпосередньо заблокувати/видалити його.

Чому так відбувається?

Це хибне спрацювання, файл насправді не містить вірусу.

Основна причина: проєкт не придбав сертифікат підпису коду EV (Extended Validation).

Що таке сертифікат підпису коду?

Сертифікат підпису коду використовується для цифрового підпису виконуваних файлів, підтверджуючи, що файл отримано від довіреного видавця та не був змінений. Windows застосовує суворіші перевірки безпеки до програм, не підписаних або підписаних звичайним сертифікатом.

Відмінності типів сертифікатів

Тип сертифіката	Вартість	Політика SmartScreen
Без підпису	Безкоштовно	Пряме блокування, позначка «Невідомий видавець»
Звичайний сертифікат OV	Кілька сотень юанів/рік	Попередження все одно з'являється, потрібна репутація
Сертифікат EV	Кілька тисяч юанів/рік	Проходить одразу, без попереджень

Програми, не підписані сертифікатом EV, за замовчуванням позначаються Windows SmartScreen як небезпечні, і антивірусам легше розпізнати їх як потенційну загрозу.

Про безпеку файлів

Не хвилюйтеся: процес збірки цього проєкту повністю прозорий і піддається аудиту:

1. Відкритий вихідний код: весь вихідний код розміщено на GitHub, будь-хто може його перевірити
2. Автоматизована збірка: exe-файл автоматично збирається робочими процесами GitHub Actions на серверах GitHub, весь процес виконується без участі людини
3. Відстежувана збірка: кожна збірка має повний журнал, який можна переглянути на сторінці GitHub Actions
4. Публікація без контакту з розробником: розробник не може вставити шкідливий код у процесі збірки; від завершення збірки до публікації та завантаження весь процес автоматизовано

Простіше кажучи: exe-файл ніколи не проходить через руки розробника, можливість «отруєння» виключена.

Рішення

Варіант 1: Додавання до списку довірених (рекомендується звичайним користувачам)

При блокуванні Windows Defender:

1. Відкрийте «Безпека Windows» → «Захист від вірусів і загроз»
2. Натисніть «Журнал захисту»
3. Знайдіть заблокований елемент, натисніть «Дії» → «Дозволити»

Або додайте виняток до завантаження:

1. Відкрийте «Безпека Windows» → «Захист від вірусів і загроз» → «Керування параметрами»
2. Прокрутіть вниз до «Винятків», натисніть «Додавання або видалення винятків»
3. Додайте каталог завантаження до винятків

Сторонні антивіруси: додайте завантажений файл або каталог до списку довіри відповідного програмного забезпечення.

Варіант 2: Збірка з вихідного коду (рекомендується розробникам)

Якщо у вас залишилися сумніви щодо передкомпільованих бінарних файлів, ви можете клонувати вихідний код і зібрати його локально:

# Клонування репозиторію
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# Збірка Release-версії
cargo build --release

# Артефакти збірки знаходяться в каталозі target/release/

Так ви можете повністю переконатися у вмісті коду, що запускається.

Варіант 3: Придбання сертифіката EV (для розробників)

Купівля сертифіката підпису коду EV може усунути хибні спрацювання в корені, але пов'язана з такими практичними труднощами:

• Висока вартість: сертифікат EV щорічно обходиться в кілька тисяч юанів
• Постійні витрати: сертифікат потрібно продовжувати щорічно — це довгострокове навантаження
• Характер проєкту: WSL Dashboard — некомерційний проєкт з відкритим кодом, якому важко нести такі витрати

Якщо ви хочете підтримати розвиток проєкту, ви можете зробити пожертву через канали спонсорства на головній сторінці проєкту, допомагаючи розробникам покрити витрати на сертифікати та інші операційні витрати.

Підсумки

• Блокування файлу спричинене відсутністю сертифіката підпису коду EV — це не вірус
• Усі артефакти збірки автоматично генеруються GitHub Actions — процес прозорий і піддається аудиту
• Користувач може вирішити проблему, додавши файл до білого списку або зібравши з вихідного коду
• Купівля сертифіката EV вирішує проблему в корені, але створює фінансове навантаження для некомерційного проєкту

Дякуємо за розуміння та підтримку!