Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

chore: investigar aviso de instalación y añadir firma Authenticode Windows

Đang mở
  • Có gì không ổn?
#20 1 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
5/5
Thời gian dự kiến
Hơn một tuần
Mức phù hợp với người mới
25/100
Loại issue
Tính năng
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
github-actions, typescript
Lĩnh vực
desktop, devops

Hướng nghiên cứu

Start with .github/workflows/release.yml, src-tauri/tauri.conf.json, and src-tauri/tauri.release.conf.json, then read Tauri’s Windows code-signing documentation cited in the issue. First establish what the reported Windows warning says and choose a signing provider before provisioning credentials. Done means both NSIS and MSI installers and the executable have verifiable Authenticode signatures, release signing fails visibly on errors, updater minisign validation still covers the distributed bytes, and Windows installation and update results are documented.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

odd status:approved type:chore

Problema reportado

Al instalar Quorb en Windows sigue apareciendo un aviso descrito por el usuario como «no autorizado», pese a haber configurado la firma del actualizador.

Faltan texto exacto/captura, versión de Windows, versión instalada y formato utilizado (NSIS/MSI). No se ha inspeccionado ni ejecutado el binario del usuario. No se puede clasificar todavía como SmartScreen, UAC «editor desconocido», Smart App Control o política empresarial.

Hallazgo confirmado

La firma del actualizador no equivale a firma Authenticode de Windows:

  • En main, .github/workflows/release.yml:8–9 declara expresamente que el instalador queda sin Authenticode y solo el updater lleva minisign.
  • El workflow entrega TAURI_SIGNING_PRIVATE_KEY y su contraseña a Tauri para el updater, sin configurar firma de código Windows.
  • src-tauri/tauri.conf.json publica NSIS y MSI; bundle.windows solo configura WebView, sin certificado ni comando de firma Windows.
  • src-tauri/tauri.release.conf.json habilita artefactos del updater, no Authenticode.

Esta carencia es consistente con avisos de editor desconocido/no confianza, pero no prueba por sí sola el origen del mensaje concreto reportado.

Reproducción pendiente de concretar

  1. Descargar el instalador de Quorb desde su distribución oficial.
  2. Ejecutarlo en Windows con las protecciones habituales activadas.
  3. Registrar el texto exacto, editor mostrado, versión del sistema/app y formato del instalador, sin publicar datos personales.
  4. Inspeccionar el artefacto exacto con Get-AuthenticodeSignature o signtool verify /pa /v y registrar solo metadatos públicos (estado, identidad del editor y timestamp).

Alcance propuesto

Investigar e incorporar firma de código Windows para ejecutable e instaladores NSIS/MSI, conservando la firma minisign del updater. Elegir antes el proveedor, identidad validada, coste y mecanismo compatible con CI. Esta issue no autoriza compras, altas, generación/importación de claves, nuevos secretos ni publicación de releases.

Criterios de aceptación

  • Clasificar el aviso real con evidencia y diferenciar SmartScreen, UAC, Smart App Control y políticas del equipo.
  • Registrar la decisión de certificado/servicio de firma Windows y su viabilidad antes de provisionar nada.
  • Ejecutable e instaladores entregados tienen Authenticode válido, editor esperado y timestamp verificable; comprobar ambos formatos.
  • Verificar los artefactos finales y evitar modificaciones que invaliden la firma; conservar la validación minisign del updater sobre los bytes finalmente distribuidos.
  • La ruta de release configurada para firmar falla de forma visible si no puede firmar o verificar, sin anunciar un instalador firmado cuando no lo está.
  • Secretos y material privado se gestionan sin exposición en repositorio, chat o logs, con permisos mínimos y limpieza del material temporal.
  • Validar instalación/actualización en Windows real y documentar el resultado de los avisos con las protecciones activas.
  • Explicar que una firma válida acredita al editor, pero no garantiza ausencia inmediata de SmartScreen: la reputación del archivo/editor y las políticas del equipo pueden mantener avisos.
  • No proponer desactivar SmartScreen/Defender, eliminar controles del sistema ni usar certificados autofirmados como solución de confianza pública.

Fuentes oficiales

Microsoft documenta que incluso un binario firmado nuevo puede producir avisos mientras adquiere reputación; EV tampoco garantiza evitarlos.

Investigación y duplicados

Inspección read-only del repositorio local y de main, políticas/labels y búsqueda de issues abiertas/cerradas por SmartScreen, Authenticode, editor desconocido, no autorizado y code signing. Resultado relacionado: #13, preparación de release ya cerrada, excluye expresamente Authenticode. Esta issue registra ese trabajo pendiente y el nuevo reporte, no repite la preparación del updater.

Sin cambios de código, certificados, secretos o workflow; sin descargar/ejecutar instaladores. La corrección de autostart en #19 es independiente.

Ngôn ngữ chính
TypeScript
Star
10
Fork
2
Merge trung bình
1 giờ 17 phút
Pull request đã merge (30 ngày)
53

Chuẩn bị môi trường

Dự án này không cung cấp dev container, Dockerfile hay hướng dẫn đóng góp, nên bạn cần tự thiết lập môi trường: hãy bắt đầu từ README và xem hướng dẫn đóng góp lần đầu của chúng tôi để biết các bước chung.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của egdev6/quorb

Tất cả issue của egdev6/quorb

Issue tương tự

Thêm issue về TypeScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.