Tentang Positif Palsu Perangkat Lunak Keamanan

Deskripsi Masalah

Setelah mengunduh installer .exe atau arsip .zip WSL Dashboard, Windows Defender atau perangkat lunak antivirus lainnya mungkin menampilkan peringatan keamanan yang menunjukkan bahwa file tersebut menimbulkan risiko, atau langsung memblokir dan menghapusnya.

Mengapa Ini Terjadi?

Ini adalah positif palsu — file tersebut sebenarnya tidak mengandung virus apa pun.

Penyebab utamanya adalah: proyek ini tidak memiliki sertifikat penandatanganan kode EV (Extended Validation).

Apa itu Sertifikat Penandatanganan Kode?

Sertifikat penandatanganan kode digunakan untuk menandatangani file yang dapat dieksekusi secara digital, membuktikan bahwa file tersebut berasal dari penerbit tepercaya dan belum diubah. Windows menerapkan pemeriksaan keamanan yang lebih ketat untuk program yang tidak ditandatangani atau ditandatangani dengan sertifikat standar.

Perbedaan antara Jenis Sertifikat

Jenis Sertifikat	Harga	Kebijakan SmartScreen
Tanpa tanda tangan	Gratis	Langsung diblokir, ditandai sebagai "Penerbit Tidak Dikenal"
Sertifikat OV standar	Ratusan dolar/tahun	Masih menampilkan peringatan, memerlukan pembangunan reputasi
Sertifikat EV	Ribuan dolar/tahun	Langsung lolos, tanpa peringatan

Program yang tidak ditandatangani dengan sertifikat EV secara default ditandai sebagai tidak aman oleh Windows SmartScreen, dan lebih mungkin diidentifikasi sebagai ancaman potensial oleh perangkat lunak antivirus.

Tentang Keamanan File

Yakinlah, proses build proyek ini sepenuhnya transparan dan dapat diaudit:

1. Kode sumber terbuka: Semua kode sumber di-host di GitHub dan dapat ditinjau oleh siapa saja
2. Build otomatis: File exe secara otomatis dibangun oleh workflow GitHub Actions di server GitHub, tanpa campur tangan manusia selama seluruh proses
3. Build yang dapat dilacak: Setiap build memiliki log lengkap yang dapat dilihat di halaman GitHub Actions
4. Rilis tanpa kontak: Pengembang tidak dapat menyisipkan kode berbahaya apa pun selama proses build — seluruh alur dari penyelesaian build hingga unduhan rilis sepenuhnya otomatis

Dengan kata sederhana: file exe tidak pernah melewati tangan pengembang — tidak ada kemungkinan "peracunan".

Solusi

Opsi 1: Tambahkan ke Daftar Putih Kepercayaan (Direkomendasikan untuk Pengguna Biasa)

Ketika Windows Defender memblokir file:

1. Buka "Keamanan Windows" → "Perlindungan virus & ancaman"
2. Klik "Riwayat perlindungan"
3. Temukan item yang diblokir, klik "Tindakan" → "Izinkan"

Atau tambahkan pengecualian sebelum mengunduh:

1. Buka "Keamanan Windows" → "Perlindungan virus & ancaman" → "Kelola pengaturan"
2. Gulir ke bawah untuk menemukan "Pengecualian", klik "Tambah atau hapus pengecualian"
3. Tambahkan direktori unduhan Anda sebagai pengecualian

Perangkat lunak antivirus pihak ketiga: Silakan tambahkan file atau direktori yang diunduh ke daftar kepercayaan di perangkat lunak masing-masing.

Opsi 2: Build dari Kode Sumber (Direkomendasikan untuk Pengembang)

Jika Anda masih memiliki kekhawatiran tentang biner yang sudah dikompilasi, Anda dapat mengklon kode sumber dan mengompilasinya secara lokal:

# Klon repositori
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# Build versi Release
cargo build --release

# Artefak build terletak di direktori target/release/

Dengan cara ini, Anda dapat sepenuhnya memverifikasi kode yang Anda jalankan.

Opsi 3: Beli Sertifikat EV (Catatan untuk Pengembang)

Membeli sertifikat penandatanganan kode EV dapat secara fundamental menyelesaikan masalah positif palsu, tetapi menghadapi tantangan praktis berikut:

• Biaya tinggi: Sertifikat EV berharga ribuan dolar per tahun
• Biaya berkelanjutan: Sertifikat memerlukan pembaruan tahunan, menciptakan beban keuangan jangka panjang
• Sifat proyek: WSL Dashboard adalah proyek open source nirlaba yang tidak dapat dengan mudah menanggung biaya ini

Jika Anda ingin mendukung pengembangan proyek ini, Anda dapat menyumbang melalui saluran sponsor di beranda proyek untuk membantu pengembang menutupi biaya operasional seperti sertifikat.

Ringkasan

• File diblokir karena kurangnya sertifikat penandatanganan kode EV — bukan virus
• Semua artefak build secara otomatis dihasilkan oleh GitHub Actions — prosesnya transparan dan dapat diaudit
• Pengguna dapat menyelesaikan masalah ini dengan menambahkan file ke daftar putih atau mengompilasi dari kode sumber
• Membeli sertifikat EV dapat secara fundamental menyelesaikan masalah, tetapi menimbulkan tantangan keuangan untuk proyek nirlaba

Terima kasih atas pengertian dan dukungan Anda!