Thông báo về dương tính giả của phần mềm bảo mật

Mô tả vấn đề

Sau khi tải xuống gói cài đặt .exe hoặc gói nén .zip của WSL Dashboard, Windows Defender hoặc các phần mềm diệt virus khác có thể hiển thị cảnh báo bảo mật, thông báo rằng tệp có rủi ro hoặc trực tiếp chặn/xóa tệp.

Tại sao lại xảy ra điều này?

Đây là dương tính giả, không phải tệp thực sự chứa virus.

Nguyên nhân cốt lõi là: dự án này chưa mua chứng chỉ mã ký EV (Extended Validation).

Chứng chỉ mã ký là gì?

Chứng chỉ mã ký được dùng để ký số cho các tệp thực thi, chứng minh rằng tệp đến từ nhà phát hành đáng tin cậy và chưa bị chỉnh sửa. Windows thực hiện kiểm tra bảo mật nghiêm ngặt hơn đối với các chương trình chưa ký hoặc được ký bằng chứng chỉ thông thường.

Sự khác biệt giữa các loại chứng chỉ

Loại chứng chỉ	Giá	Chính sách SmartScreen
Không ký	Miễn phí	Chặn trực tiếp, gắn nhãn "Nhà phát hành không xác định"
Chứng chỉ OV thông thường	Vài trăm tệ/năm	Vẫn hiển thị cảnh báo, cần tích lũy uy tín
Chứng chỉ EV	Vài nghìn tệ/năm	Được duyệt ngay lập tức, không có cảnh báo

Các chương trình được ký bằng chứng chỉ không phải EV sẽ bị Windows SmartScreen đánh dấu là không an toàn theo mặc định, và phần mềm diệt virus cũng dễ nhận diện chúng là mối đe dọa tiềm ẩn hơn.

Về tính an toàn của tệp

Yên tâm, quy trình xây dựng của dự án này hoàn toàn minh bạch và có thể kiểm toán:

1. Mã nguồn mở: Toàn bộ mã nguồn được lưu trữ trên GitHub, bất kỳ ai cũng có thể xem xét
2. Xây dựng tự động: Tệp exe được tạo tự động bởi quy trình GitHub Actions trên máy chủ của GitHub, toàn bộ quá trình không có sự can thiệp thủ công
3. Có thể truy vết việc xây dựng: Mỗi lần xây dựng đều có nhật ký đầy đủ, có thể xem trên trang GitHub Actions
4. Phát hành không chạm tay: Nhà phát triển không thể chèn bất kỳ mã độc nào trong quá trình xây dựng, tệp từ lúc hoàn thành xây dựng đến lúc phát hành tải xuống đều được tự động hóa hoàn toàn

Nói đơn giản: tệp exe chưa bao giờ đi qua tay nhà phát triển, không tồn tại khả năng bị "đầu độc".

Giải pháp

Giải pháp 1: Thêm vào danh sách trắng tin cậy (khuyên dùng cho người dùng thông thường)

Khi Windows Defender chặn:

1. Mở "Trung tâm bảo mật Windows" → "Bảo vệ khỏi vi-rút và mối đe dọa"
2. Nhấp "Lịch sử bảo vệ"
3. Tìm mục bị chặn, nhấp "Thao tác" → "Cho phép"

Hoặc thêm loại trừ trước khi tải xuống:

1. Mở "Trung tâm bảo mật Windows" → "Bảo vệ khỏi vi-rút và mối đe dọa" → "Quản lý cài đặt"
2. Kéo xuống tìm "Loại trừ", nhấp "Thêm hoặc xóa loại trừ"
3. Thêm thư mục tải xuống vào danh sách loại trừ

Phần mềm diệt virus của bên thứ ba: Hãy thêm tệp hoặc thư mục đã tải xuống vào danh sách tin cậy trong phần mềm tương ứng.

Giải pháp 2: Biên dịch từ mã nguồn (khuyên dùng cho nhà phát triển)

Nếu bạn vẫn còn lo ngại về tệp nhị phân đã biên dịch sẵn, bạn có thể trực tiếp clone mã nguồn và biên dịch tại chỗ:

# Clone kho mã
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# Biên dịch bản Release
cargo build --release

# Sản phẩm biên dịch nằm trong thư mục target/release/

Như vậy bạn có thể hoàn toàn xác nhận nội dung mã đang chạy.

Giải pháp 3: Mua chứng chỉ EV (dành cho nhà phát triển)

Mua chứng chỉ mã ký EV có thể giải quyết vấn đề dương tính giả từ gốc, nhưng gặp phải những khó khăn thực tế sau:

• Chi phí cao: Chứng chỉ EV mỗi năm tốn vài nghìn nhân dân tệ
• Chi phí liên tục: Chứng chỉ cần gia hạn hằng năm, là gánh nặng lâu dài
• Bản chất dự án: WSL Dashboard là dự án mã nguồn mở phi lợi nhuận, khó chi trả khoản chi phí này

Nếu bạn muốn hỗ trợ sự phát triển của dự án này, bạn có thể quyên góp qua kênh tài trợ trên trang chủ của dự án, giúp nhà phát triển trang trải chi phí vận hành như chứng chỉ.

Tổng kết

• Tệp bị chặn là do thiếu chứng chỉ mã ký EV, không phải virus
• Tất cả sản phẩm xây dựng đều do GitHub Actions tự động tạo ra, quy trình minh bạch và có thể kiểm toán
• Người dùng có thể giải quyết vấn đề này bằng cách thêm danh sách trắng hoặc tự biên dịch
• Mua chứng chỉ EV có thể giải quyết triệt để, nhưng gây áp lực kinh tế cho dự án phi lợi nhuận

Cảm ơn sự thấu hiểu và ủng hộ của bạn!