Tungkol sa Security Software False Positive

Paglalarawan ng Problema

Pagkatapos i-download ang WSL Dashboard .exe installer o .zip archive, ang Windows Defender o iba pang antivirus software ay maaaring magpakita ng security warning na nagpapahiwatig na ang file ay nagdudulot ng panganib, o direktang i-block at tanggalin ito.

Bakit Nangyayari Ito?

Ito ay isang false positive — ang file ay talagang hindi naglalaman ng anumang virus.

Ang ugat na dahilan ay: ang proyektong ito ay walang EV (Extended Validation) code signing certificate.

Ano ang Code Signing Certificate?

Ang code signing certificate ay ginagamit para digital na pirmahan ang mga executable file, pinapatunayan na ito ay nagmula sa pinagkakatiwalaang publisher at hindi na-tamper. Nag-a-apply ang Windows ng mas mahigpit na security check sa mga unsigned na programa o yaong pirmado ng standard na mga certificate.

Mga Pagkakaiba sa Pagitan ng Mga Uri ng Certificate

Uri ng Certificate	Presyo	SmartScreen Policy
Walang pirma	Libre	Naka-block agad, minarkahan bilang "Unknown Publisher"
Standard na OV certificate	Daan-daang dolyar/taon	Nagpapakita pa rin ng mga babala, nangangailangan ng reputation building
EV certificate	Libo-libong dolyar/taon	Pumapasa agad, walang babala

Ang mga programang hindi pirmado ng EV certificate ay minarkahan bilang hindi ligtas sa default ng Windows SmartScreen, at mas malamang na makilala bilang potensyal na banta ng antivirus software.

Tungkol sa Kaligtasan ng File

Maging panatag, ang build process para sa proyektong ito ay ganap na transparent at na-audit:

1. Open source code: Lahat ng source code ay naka-host sa GitHub at maaaring suriin ng sinuman
2. Automated builds: Ang exe file ay awtomatikong binuo ng GitHub Actions workflows sa mga server ng GitHub, walang tao na nanghihimasok sa buong proseso
3. Traceable builds: Ang bawat build ay may kumpletong log na maaaring tingnan sa GitHub Actions page
4. "Zero-touch release": Hindi makakapag-insert ang mga developer ng anumang malicious code sa build process — ang buong flow mula sa build completion hanggang sa release download ay ganap na automated

Sa madaling salita: ang exe file ay hindi kailanman dumadaan sa kamay ng developer — walang posibilidad ng "paglason".

Mga Solusyon

Opsyon 1: Idagdag sa Trust Whitelist (Inirerekomenda para sa Regular na User)

Kapag na-block ng Windows Defender ang file:

1. Buksan ang "Windows Security" → "Virus & threat protection"
2. I-click ang "Protection history"
3. Hanapin ang naka-block na item, i-click ang "Actions" → "Allow"

O magdagdag ng exclusion bago mag-download:

1. Buksan ang "Windows Security" → "Virus & threat protection" → "Manage settings"
2. I-scroll pababa para hanapin ang "Exclusions", i-click ang "Add or remove exclusions"
3. Idagdag ang iyong download directory bilang exclusion

Third-party antivirus software: Mangyaring idagdag ang naka-download na file o directory sa trust list sa kaukulang software.

Opsyon 2: I-build mula sa Source (Inirerekomenda para sa Mga Developer)

Kung mayroon ka pa ring mga alalahanin tungkol sa pre-compiled binaries, maaari mong i-clone ang source code at i-compile ito nang lokal:

# I-clone ang repository
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# I-build ang Release version
cargo build --release

# Ang build artifacts ay matatagpuan sa target/release/ directory

Sa ganitong paraan, maaari mong ganap na i-verify ang code na iyong pinapatakbo.

Opsyon 3: Bumili ng EV Certificate (Tala para sa Mga Developer)

Ang pagbili ng EV code signing certificate ay maaaring fundamental na malutas ang false positive issue, ngunit nahaharap sa mga sumusunod na praktikal na hamon:

• Mataas na gastos: Ang mga EV certificate ay nagkakahalaga ng libo-libong dolyar bawat taon
• Patuloy na gastusin: Ang mga certificate ay nangangailangan ng taunang pag-renew, lumilikha ng pangmatagalang pinansiyal na pasanin
• Kalikasan ng proyekto: Ang WSL Dashboard ay isang non-profit open source project na hindi madaling kayang pasanin ang gastusin na ito

Kung gusto mong suportahan ang pag-unlad ng proyekto, maaari kang mag-donate sa pamamagitan ng sponsorship channels sa project homepage para tulungan ang developer na saklawin ang mga operational cost tulad ng mga certificate.

Buod

• Ang mga file ay na-block dahil sa kakulangan ng EV code signing certificate — hindi sila mga virus
• Lahat ng build artifacts ay awtomatikong nabuo ng GitHub Actions — ang proseso ay transparent at na-audit
• Maaaring malutas ng mga user ang problemang ito sa pamamagitan ng pagdaragdag ng file sa whitelist o pag-compile mula sa source
• Ang pagbili ng EV certificate ay maaaring fundamental na malutas ang problema, ngunit lumilikha ng pinansiyal na hamon para sa mga non-profit na proyekto

Salamat sa iyong pag-unawa at suporta!