Riguardo ai Falsi Positivi del Software di Sicurezza

Descrizione del Problema

Dopo aver scaricato il programma di installazione .exe o l'archivio .zip di WSL Dashboard, Windows Defender o un altro software antivirus potrebbe visualizzare un avviso di sicurezza che indica che il file rappresenta un rischio, oppure bloccarlo ed eliminarlo direttamente.

Perché Succede Questo?

Si tratta di un falso positivo — il file in realtà non contiene alcun virus.

La causa principale è: questo progetto non possiede un certificato di firma del codice EV (Extended Validation).

Cos'è un Certificato di Firma del Codice?

Un certificato di firma del codice viene utilizzato per firmare digitalmente i file eseguibili, dimostrando che provengono da un editore affidabile e non sono stati manomessi. Windows applica controlli di sicurezza più rigorosi ai programmi non firmati o firmati con certificati standard.

Differenze tra i Tipi di Certificato

Tipo di Certificato	Prezzo	Politica SmartScreen
Nessuna firma	Gratuito	Bloccato immediatamente, contrassegnato come "Editore Sconosciuto"
Certificato OV standard	Centinaia di dollari/anno	Mostra ancora avvisi, richiede costruzione della reputazione
Certificato EV	Migliaia di dollari/anno	Passa immediatamente, nessun avviso

I programmi non firmati con un certificato EV sono contrassegnati come non sicuri per impostazione predefinita da Windows SmartScreen e hanno maggiori probabilità di essere identificati come potenziali minacce dal software antivirus.

Riguardo alla Sicurezza dei File

Siate certi che il processo di build di questo progetto è completamente trasparente e verificabile:

1. Codice sorgente aperto: Tutto il codice sorgente è ospitato su GitHub e può essere revisionato da chiunque
2. Build automatizzati: Il file exe viene automaticamente compilato dai workflow di GitHub Actions sui server di GitHub, senza intervento umano durante l'intero processo
3. Build tracciabili: Ogni build ha log completi che possono essere visualizzati sulla pagina di GitHub Actions
4. Pubblicazione senza contatto: Gli sviluppatori non possono inserire alcun codice malevolo durante il processo di build — l'intero flusso dal completamento della build al download della pubblicazione è completamente automatizzato

In termini semplici: il file exe non passa mai nelle mani dello sviluppatore — non c'è possibilità di "avvelenamento".

Soluzioni

Opzione 1: Aggiungere alla Lista Bianca di Fiducia (Consigliato per Utenti Regolari)

Quando Windows Defender blocca il file:

1. Apri "Sicurezza di Windows" → "Protezione da virus e minacce"
2. Clicca su "Cronologia protezione"
3. Trova l'elemento bloccato, clicca su "Azioni" → "Consenti"

Oppure aggiungi un'esclusione prima di scaricare:

1. Apri "Sicurezza di Windows" → "Protezione da virus e minacce" → "Gestisci impostazioni"
2. Scorri verso il basso per trovare "Esclusioni", clicca su "Aggiungi o rimuovi esclusioni"
3. Aggiungi la tua directory di download come esclusione

Software antivirus di terze parti: Per favore aggiungi il file o la directory scaricata alla lista di fiducia nel rispettivo software.

Opzione 2: Compilare dal Codice Sorgente (Consigliato per Sviluppatori)

Se hai ancora preoccupazioni riguardo ai binari precompilati, puoi clonare il codice sorgente e compilarlo localmente:

# Clonare il repository
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# Compilare la versione Release
cargo build --release

# Gli artefatti di build si trovano nella directory target/release/

In questo modo, puoi verificare completamente il codice che stai eseguendo.

Opzione 3: Acquistare un Certificato EV (Nota per Sviluppatori)

L'acquisto di un certificato di firma del codice EV può risolvere fondamentalmente il problema dei falsi positivi, ma affronta le seguenti sfide pratiche:

• Costo elevato: I certificati EV costano migliaia di dollari all'anno
• Spese continue: I certificati richiedono un rinnovo annuale, creando un onere finanziario a lungo termine
• Natura del progetto: WSL Dashboard è un progetto open source senza scopo di lucro che non può facilmente sostenere questa spesa

Se desideri supportare lo sviluppo di questo progetto, puoi donare attraverso i canali di sponsorizzazione sulla pagina principale del progetto per aiutare lo sviluppatore a coprire i costi operativi come i certificati.

Riepilogo

• I file vengono bloccati a causa della mancanza di un certificato di firma del codice EV — non sono virus
• Tutti gli artefatti di build vengono generati automaticamente da GitHub Actions — il processo è trasparente e verificabile
• Gli utenti possono risolvere questo problema aggiungendo il file alla lista bianca o compilando dal codice sorgente
• L'acquisto di un certificato EV può risolvere fondamentalmente il problema, ma pone sfide finanziarie per i progetti senza scopo di lucro

Grazie per la vostra comprensione e il vostro supporto!