'"Windows bilgisayarınızı korudu": SmartScreen uyarısı ne anlama gelir ve nasıl kaldırılır'

Bir Setup.exe yayınlıyorsunuz, bir müşteri indiriyor ve Windows mavi bir kutu gösteriyor: "Windows bilgisayarınızı korudu. Microsoft Defender SmartScreen tanınmayan bir uygulamanın başlatılmasını engelledi." Uygulamada sorun yok. Yükleyicide sorun yok. Ne oldu ve bu konuda ne yapabilirsiniz?

SmartScreen neyi kontrol ediyor

SmartScreen bir itibar hizmetidir. İnternetten indirilen bir dosya çalıştırıldığında Windows, Microsoft'a bu dosyanın ya da imzalandığı sertifikanın bilinip bilinmediğini ve güvenilir olup olmadığını sorar. Yanıtı üç şey belirler:

1. Kod imzası. Dosyanın, Windows'un güvendiği bir sertifika yetkilisinden alınmış bir sertifikayla imzalanıp imzalanmadığı ve bu sertifikanın (yani "yayıncının") bir geçmişi olup olmadığı.
2. İndirme itibarı. Tam olarak bu dosyayı kaç kişinin indirip çalıştırdığı ve hakkında kötü bir bildirim olup olmadığı.
3. Bilinen tehditler. Dosyanın kötü amaçlı yazılımla eşleşip eşleşmediği. Eşleşiyorsa mavi değil kırmızı bir ekranla doğrudan engellenir.

Küçük bir yayıncının yepyeni yükleyicisi, sırf yeni olduğu için ilk iki kontrolden geçemez. Uyarıda "tanınmayan" denir ve bu kelimenin tam anlamıyla doğrudur; kullanıcılar Ek bilgi → Yine de çalıştır seçeneğine tıklayabilir. Birçoğu tıklamaz.

Uyarıyı ortadan kaldıran şeyler

İtibar zamanla oluşur

İmzasız bir yükleyici, daha fazla kişi onu sorunsuz biçimde indirip çalıştırdıkça itibar kazanır. Popüler bir indirme için bu günler ya da haftalar sürer; niş bir araç için uzun zaman alabilir ve dosya farklı olduğu için her yeni sürüm sıfırdan başlar.

Kod imzalama ve neden tabloyu değiştirdiği

Yükleyiciyi bir kod imzalama sertifikasıyla imzalamak, kimliğinizi ona bağlar. İtibar artık her dosyaya değil sertifikaya birikir; böylece yeni bir sürüm, öncekilerin kazandığı güveni devralır. Standart çözüm budur.

Seçenekleriniz:

• Herkese açık bir CA'dan standart (OV) kod imzalama sertifikası (DigiCert, Sectigo, GlobalSign ve bayileri). 2023'ten beri bunlar donanım belirteçleri ya da bulut HSM'leri üzerinde veriliyor. Yılda birkaç yüz dolar bekleyin. İtibar yine düşükten başlar ve indirmelerle büyür, ancak sürümler arasında taşınır.
• EV kod imzalama sertifikası. Daha sıkı kimlik denetimi, daha yüksek fiyat. Bunlar geçmişte iyi bir SmartScreen itibarını daha hızlı kazanırdı. Microsoft bu avantajı zamanla azalttı; bu yüzden EV'yi garantili anında geçiş değil, "daha iyi kimlik doğrulama" olarak görün.
• Azure Trusted Signing. Microsoft'un kendi imzalama hizmeti; aylık fiyatlandırılır ve desteklenen bölgelerdeki bireyler ile küçük şirketler için tasarlanmıştır. Doğrulanmış kimliğinize bağlı kısa ömürlü sertifikalarla imzalar ve SmartScreen ona iyi davranır.

Hangisini seçerseniz seçin, sertifikanın süresi dolduktan sonra da geçerli kalması için imzaya zaman damgası ekleyin.

Bir ExeTup yükleyicisini imzalama

Yükleyiciyi ExeTup oluşturur; imzalamak sizin adımınızdır, çünkü sertifika size aittir. Setup.exe dosyasını indirdikten sonra:

Windows'ta, Windows SDK ile:

signtool sign /fd SHA256 /tr http://timestamp.digicert.com /td SHA256 /a Setup.exe

macOS veya Linux'ta, osslsigncode ile:

osslsigncode sign -pkcs12 cert.pfx -pass "..." -t http://timestamp.digicert.com -h sha256 -in Setup.exe -out Setup-signed.exe

NSIS yükleyicileri, Authenticode imzasını özel bir işlem gerektirmeden kabul eder. Kullanıcıların başlattığı programın da imzalı olması için, zip'lemeden önce uygulamanızın kendi .exe dosyasını da imzalayın. Doğrulamak için imzalı dosyaya sağ tıklayın → Özellikler → Dijital İmzalar.

Bu arada kullanıcılara ne söylemeli

Henüz imzalamıyorsanız, indirme sayfanızdaki kısa bir not işe yarar: uyarının küçük yayıncıların yeni yazılımlarında göründüğünü, yükleyicinin güvenli olduğunu ve Ek bilgi → Yine de çalıştır seçeneğine tıklamanın kurulumu yaptığını belirtin. Temkinli kullanıcıların indirmeyi doğrulayabilmesi için dosyanın SHA-256 karmasını yayınlayın. ExeTup her derlemenin karmasını indirmesinin yanında gösterir.

Ayrıca indirmeyi HTTPS üzerinden kendi alan adınızda barındırın ve aynı sürüm için aynı dosyayı koruyun. Değiştirilmiş dosyaları yeniden yüklemek indirme itibarını sıfırlar.

İşe yaramayanlar

• Dosyayı yeniden adlandırmak, zip'lemek ya da simgeyi değiştirmek. İtibar dosya karması ve sertifika başınadır.
• Kendinden imzalı sertifikalar. Windows bunlara güvenmez; uyarı kalır ve imza, hiç imza olmamasından daha kötü görünür.
• Kullanıcılardan SmartScreen'i kapatmalarını istemek. Kapatmamalılar ve çoğu kapatmaz.

Sık sorulan sorular

Yükleyicim virüs olarak mı işaretleniyor?

Hayır. Mavi "Windows bilgisayarınızı korudu" ekranı "kötü amaçlı" değil "bilinmiyor" anlamına gelir. "Bu uygulama korumanız için engellendi" yazan kırmızı ekran ise bir kötü amaçlı yazılım kararıdır ve bu farklı bir sorundur.

Her yeni sürümde uyarı yeniden görünecek mi?

İmzasız yükleyicilerde evet, çünkü her sürüm yeni bir dosyadır. İmzalı yükleyicilerde itibar sertifikayı izler; bu yüzden sonraki sürümler, öncekilerin kazandığı güvenle başlar.

ExeTup yükleyicileri imzalıyor mu?

Şu anda hayır. İndirdiğiniz Setup.exe dosyasını signtool ya da osslsigncode kullanarak kendi sertifikanızla imzalayın. Yükleyici imzayı diğer tüm Windows yürütülebilir dosyaları gibi kabul eder.

Uyarı kaldırıcı için de görünüyor mu?

Kaldırıcı indirilmez, yerel diskten çalıştırılır; bu yüzden SmartScreen onu taramaz. Tüm kullanıcılar için yapılan kurulumlarda kullanıcılar bunun yerine standart Kullanıcı Hesabı Denetimi istemini görebilir.