Sobre Falsos Positivos de Software de Segurança

Descrição do Problema

Após baixar o instalador .exe ou o arquivo .zip do WSL Dashboard, o Windows Defender ou outro software antivírus pode exibir um aviso de segurança indicando que o arquivo representa um risco, ou bloqueá-lo e excluí-lo diretamente.

Por que Isso Acontece?

Este é um falso positivo — o arquivo na verdade não contém nenhum vírus.

A causa raiz é: este projeto não possui um certificado de assinatura de código EV (Extended Validation).

O que é um Certificado de Assinatura de Código?

Um certificado de assinatura de código é usado para assinar digitalmente arquivos executáveis, provando que eles vêm de um editor confiável e não foram adulterados. O Windows aplica verificações de segurança mais rigorosas a programas não assinados ou assinados com certificados padrão.

Diferenças entre Tipos de Certificados

Tipo de Certificado	Preço	Política SmartScreen
Sem assinatura	Gratuito	Bloqueado imediatamente, marcado como "Editor Desconhecido"
Certificado OV padrão	Centenas de dólares/ano	Ainda mostra avisos, requer construção de reputação
Certificado EV	Milhares de dólares/ano	Passa imediatamente, sem avisos

Programas não assinados com um certificado EV são marcados como inseguros por padrão pelo Windows SmartScreen, e são mais propensos a serem identificados como ameaças potenciais pelo software antivírus.

Sobre a Segurança dos Arquivos

Fique tranquilo, o processo de compilação deste projeto é completamente transparente e auditável:

1. Código fonte aberto: Todo o código fonte está hospedado no GitHub e pode ser revisado por qualquer pessoa
2. Compilações automatizadas: O arquivo exe é automaticamente compilado por workflows do GitHub Actions nos servidores do GitHub, sem intervenção humana durante todo o processo
3. Compilações rastreáveis: Cada compilação tem logs completos que podem ser visualizados na página do GitHub Actions
4. Publicação sem contato: Os desenvolvedores não podem inserir nenhum código malicioso durante o processo de compilação — todo o fluxo desde a conclusão da compilação até o download da publicação é totalmente automatizado

Em termos simples: o arquivo exe nunca passa pelas mãos do desenvolvedor — não há possibilidade de "envenenamento".

Soluções

Opção 1: Adicionar à Lista Branca de Confiança (Recomendado para Usuários Regulares)

Quando o Windows Defender bloqueia o arquivo:

1. Abra "Segurança do Windows" → "Proteção contra vírus e ameaças"
2. Clique em "Histórico de proteção"
3. Encontre o item bloqueado, clique em "Ações" → "Permitir"

Ou adicione uma exclusão antes de baixar:

1. Abra "Segurança do Windows" → "Proteção contra vírus e ameaças" → "Gerenciar configurações"
2. Role para baixo para encontrar "Exclusões", clique em "Adicionar ou remover exclusões"
3. Adicione seu diretório de download como exclusão

Software antivírus de terceiros: Por favor, adicione o arquivo ou diretório baixado à lista de confiança no software respectivo.

Opção 2: Compilar a Partir do Código Fonte (Recomendado para Desenvolvedores)

Se você ainda tem preocupações com binários pré-compilados, pode clonar o código fonte e compilá-lo localmente:

# Clonar o repositório
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# Compilar a versão Release
cargo build --release

# Os artefatos de compilação estão localizados no diretório target/release/

Dessa forma, você pode verificar completamente o código que está executando.

Opção 3: Comprar um Certificado EV (Nota para Desenvolvedores)

Comprar um certificado de assinatura de código EV pode resolver fundamentalmente o problema dos falsos positivos, mas enfrenta os seguintes desafios práticos:

• Alto custo: Certificados EV custam milhares de dólares por ano
• Despesas contínuas: Certificados requerem renovação anual, criando um fardo financeiro de longo prazo
• Natureza do projeto: WSL Dashboard é um projeto de código aberto sem fins lucrativos que não pode facilmente suportar essa despesa

Se você deseja apoiar o desenvolvimento deste projeto, pode doar através dos canais de patrocínio na página inicial do projeto para ajudar o desenvolvedor a cobrir custos operacionais como certificados.

Resumo

• Os arquivos são bloqueados devido à falta de um certificado de assinatura de código EV — não são vírus
• Todos os artefatos de compilação são gerados automaticamente pelo GitHub Actions — o processo é transparente e auditável
• Os usuários podem resolver esse problema adicionando o arquivo a uma lista branca ou compilando a partir do código fonte
• Comprar um certificado EV pode resolver fundamentalmente o problema, mas apresenta desafios financeiros para projetos sem fins lucrativos

Obrigado pela sua compreensão e apoio!