Ventoy e i certificati Secure Boot: cosa aggiornare per evitare problemi in avvio

Un’applicazione come Ventoy nasce con un’idea semplice ma molto efficace: installare una volta il bootloader sull’unità USB e copiarvi successivamente le immagini ISO, WIM, IMG, VHD, VHDX o EFI come normali file. Al boot del PC compare un menu dal quale scegliere cosa caricare: in pratica, uno stesso supporto USB può essere sfruttato per caricare più supporti d’installazione di Windows, più distribuzioni Linux, più utilità per la gestione del sistema e la risoluzione dei problemi, installazioni complete di Windows in stile Windows To Go.

Ventoy è uno strumento avanzato anche per i tecnici IT: permette infatti di memorizzarvi tutto il necessario per riparare PC e fornire assistenza ai clienti, in sede oppure in trasferta.

A fine giugno 2026, lo sviluppatore di Ventoy ha aggiornato l’applicazione rilasciando diverse release nel giro di pochi giorni. I rilasci hanno accompagnato il passaggio ai nuovi certificati Microsoft per Secure Boot, correggendo nel frattempo regressioni sui firmware UEFI meno recenti, un problema di avvio con Kicksecure (distribuzione Linux basata su Debian, progettata per aumentare sicurezza e resistenza agli attacchi) e il ripristino indesiderato di un’opzione di VentoyPlugson.

Chi usa una chiavetta multiboot per assistenza tecnica, installazioni o recupero dati dovrebbe aggiornare e, soprattutto, provarla sui computer reali prima di considerarla pronta.

Perché Ventoy ha dovuto modificare la sua catena di avvio per via di Secure Boot

La tecnologia Secure Boot controlla i componenti eseguiti nelle prime fasi di accensione, quando il sistema operativo non ha ancora assunto il controllo della macchina.

Il firmware consulta principalmente due archivi: UEFI db, che contiene certificati e hash autorizzati, e dbx, che raccoglie firme revocate. Le modifiche a questi archivi passano attraverso le Key Exchange Key, abbreviate in KEK. In pratica, non basta che un file di avvio (i.e. EFI) sia tecnicamente valido: il firmware deve riuscire a ricondurne la firma a un’autorità considerata attendibile.

Ventoy inserisce nella catena uno shim, cioè un piccolo bootloader firmato che agisce da ponte fra il firmware e i componenti successivi.

L’utilità per la creazione di chiavette e supporti USB multiboot ha aggiornato il file shim per affrontare la transizione alla UEFI CA 2023 ovvero ai nuovi certificati digitali per Secure Boot, rilasciati da Microsoft (in un altro articolo abbiamo visto come conoscere le date critiche e lo stato del proprio PC rispetto ai nuovi certificati Secure Boot).

Secondo quanto indicato dal progetto, lo sviluppatore ha scelto uno shim proveniente da Rocky Linux perché firmato sia dalla UEFI CA 2011 sia dalla UEFI CA 2023. La doppia firma serve a migliorare la compatibilità durante una fase in cui le macchine possono avere database di certificati diversi, a seconda degli aggiornamenti del produttore e del sistema operativo.

Come registrare la nuova chiave Secure Boot

Il punto è che la sostituzione dello shim modifica anche la chiave associata a Ventoy. Dopo l’aggiornamento, il primo avvio con Secure Boot attivo richiede quindi una nuova registrazione tramite l’interfaccia di gestione delle chiavi fornita dallo shim.

Ventoy mostra normalmente una schermata di errore di verifica, seguita dal gestore MOK (Machine Owner Key); da lì l’utente seleziona la chiave presente sulla chiavetta, conferma l’operazione e riavvia.

La procedura si esegue una sola volta per macchina, ma non va liquidata come un dettaglio: in un laboratorio con decine di PC differenti, ogni firmware conserva autonomamente la propria autorizzazione.

Importazione della chiave per l’avvio di Ventoy

Dopo l’aggiornamento all’ultima versione di Ventoy (download), il primo avvio con Secure Boot attivo mostra l’errore Verification failed (0x1A) Security Violation quindi premere un tasto per accedere alla gestione MOK.

Dal menu successivo, si deve scegliere Enroll Key from Disk, selezionare VTOYEFI quindi ENROLL_THIS_KEY_IN_MOKMANAGER.cer.

Per concludere, bisogna selezionare Continue e rispondere Yes alla domanda Enroll the key. Una volta scelta la voce Reboot, per riavviare il sistema, il menu di scelta di Ventoy tornerà ad apparire al boot.

Chi aveva già autorizzato una versione precedente di Ventoy deve ripetere l’operazione: dalla release 1.1.14 il progetto usa infatti una CA differente per affrontare la transizione ai certificati UEFI del 2023.

Su alcuni firmware può servire anche l’attivazione dell’opzione “Allow Microsoft 3rd Party UEFI CA“; se la schermata MOK non compare oppure il firmware segnala una firma non valida, conviene verificare tale impostazione prima di disabilitare Secure Boot.

L’approvazione va concessa soltanto a un supporto Ventoy scaricato da fonti ufficiali e controllato tramite hash, poiché la chiave autorizza il caricamento dei componenti previsti dalla relativa catena di avvio.

Corretto il bug che impediva l’uso di Ventoy con Secure Boot disabilitato

L’aggiornamento di Ventoy distribuito a partire dal 25 giugno 2026 ha corretto anche un problema accessorio: su alcuni sistemi Ventoy non partiva quando Secure Boot risultava disattivato nel firmware.

Alcuni firmware datati applicano interpretazioni poco uniformi delle specifiche UEFI oppure inizializzano in modo anomalo le strutture legate alla sicurezza. Non è raro: schede madri e notebook apparentemente simili possono usare implementazioni firmware molto diverse, soprattutto quando appartengono a generazioni precedenti all’adozione diffusa di Windows 11.

Chi deve preparare o aggiornare un supporto di avvio basato su Ventoy dovrebbe partire dalla versione più recente del tool, controllare l’hash SHA-256 pubblicato insieme ai file e mantenere una copia del vecchio supporto finché i test non risultano conclusi.

Un’altra modifica riguarda VTOY_WIN_UEFI_RES_LOCK, parametro usato per bloccare la risoluzione UEFI durante l’avvio di Windows o WinPE. L’opzione può tornare utile sui firmware che cambiano modalità grafica in modo problematico, causando schermate distorte, nere o non leggibili durante il caricamento.

Il modulo VentoyPlugson consente di modificare tramite browser le impostazioni conservate nel file ventoy.json, evitando l’editing manuale.

Come funziona VTOY_SECURE_BOOT_POLICY

Le release più aggiornate di Ventoy hanno anche introdotto nel plugin di controllo globale l’opzione VTOY_SECURE_BOOT_POLICY, impostabile a 0 oppure 1.

Il valore “0”, impostato come predefinito, indica a Ventoy di aggirare i controlli Secure Boot per i file EFI caricati successivamente; il valore “1” impone invece di seguire la politica di verifica definita dal firmware UEFI.

Usare il valore “0” aumenta la compatibilità, ma riduce le garanzie sulla provenienza dei componenti avviati dopo Ventoy. Un file EFI alterato o non firmato può essere eseguito anche se il firmware, da solo, lo avrebbe rifiutato. Il valore “1” offre un’impostazione più coerente con workstation amministrate, dispositivi aziendali o macchine esposte a requisiti di conformità; in compenso, alcune ISO datate e vari strumenti diagnostici potrebbero non partire.

Aggiornare una chiavetta Ventoy senza perdere dati

L’aggiornamento di Ventoy, attivabile estraendo la nuova versione del software in una cartella di appoggio quindi cliccando due volte su Ventoy2Disk.exe, interviene sulle partizioni e sui file di boot senza cancellare le immagini presenti nella partizione dati.

Cliccando su Update, Ventoy provvede ad aggiornare il contenuto del supporto avviabile in modo sicuro, senza cancellare nulla del suo contenuto.

I limiti che l’aggiornamento non può eliminare

Ventoy migliora la compatibilità, ma non può correggere un firmware privo dei certificati necessari né modificare da solo i database db e dbx conservati in hardware.

Gli aggiornamenti distribuiti da Microsoft e dai produttori intervengono su livelli differenti; inoltre, il modo in cui una piattaforma applica le nuove autorità del 2023 dipende dal modello, dalla versione del BIOS e dallo stato delle variabili UEFI.

Per chi gestisce supporti di emergenza, non basta conservare una USB in un cassetto e supporre che funzionerà fra “n” mesi. Una chiavetta multiboot è uno strumento operativo, quindi richiede manutenzione, verifica degli hash, aggiornamento delle immagini e prove periodiche su hardware recente e meno recente.

Ventoy resta uno strumento molto efficace, ma la sua flessibilità non elimina la complessità di UEFI e Secure Boot: semplicemente, la rende più gestibile.