Software-update: Ventoy 1.0.58

Ventoy is een opensourceprogramma waarmee zelfstartende USB-sticks kunnen worden gemaakt. De manier waarop het dat doet, is echter anders dan vergelijkbare tools. De USB-stick hoeft slechts eenmaal geprepareerd te worden en daarna kunnen net zoveel ISO-bestanden op de stick geplaatst worden als er vrije ruimte is. Ventoy maakt zelf automatisch een bootmenu aan voor de aanwezige ISO-bestanden. Ondersteuning is aanwezig voor zowel UEFI- als legacy-boot en het is getest met meer dan 770 verschillende ISO-bestanden. De changelog voor versie 1.0.58 ziet er als volgt uit:

Changes in Ventoy 1.0.58:

• Add Ventoy2Disk_X64.exe/Ventoy2Disk_ARM.exe/Ventoy2Disk_ARM64.exe. Notes
• Fix the false error report about ventoy.jsonxxx file. (#1190)
• Fix a bug when booting HDM17x64_17.20.0_ADV_Linux_Downloadly.ir.iso
• languages.json update

Versienummer	1.0.58
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, macOS, Windows 8, Windows 10, Windows 11
Website	Ventoy
Download	https://github.com/ventoy/Ventoy/releases/tag/v1.0.58
Bestandsgrootte	13,47MB
Licentietype	GPL

Reacties (30)

[Terry A Davis]

Als je UEFI Secure Boot wil dan moet je de applicatie voor je verder iets gaat doen in het menu instellen om Secure Boot aan te zetten. Dan als je gaat booten zal je de Secure Boot key van de USB stick moeten 'enrollen' zodat de Ventoy key in je UEFI/BIOS zit. Niet iedereen zal dit willen, en niet iedere PC kan dit. Ik heb geen praktijk ervaring met Ventoy UEFI Secure Boot verder, maar zie dit probleem van een Secure Boot key 'enrollen' wel als obstakel. Verder zal Ventoy bij een PC in legacy modus dit gelukkig niet hebben.

Dus voor mij helaas pindakaas, en helaas nog steeds een USB stick maken met MediaCreationTool voor Windows e.d. vanwege secure boot UEFI.

En in mijn situatie is het zo dat ik zelfs het hardware PCI Device ID moet weten wil ik een Linux Secure Boot USB stick kunnen opstarten, dat is uiteraard omdat de hardware hier uit het Windows 8.1 tijdperk is waarin de nieuwste UEFI snufjes nog niet volwassen waren, maar wel werkten.

[henk717]

Heb dit zelf geport naar mijn Easy2Boot stick nadat de Kaspersky methode niet meer werkte (Helaas nam de maintainer het niet over) en heb me er dus iets meer in verdiept.

Er waren altijd twee methodes voor (op sommige borden drie) namelijk de Kaspersky methode, de Shim methode en het toevoegen van de hash in je bios mits deze een dergelijke optie heeft.

Om bij het begin te beginnen werkt secureboot met goedgekeurde keys die het systeem vertrouwd. Voor het gemak zit die van Microsoft in het moederbord ingebakken. Microsoft heeft verschillende en in iedergeval een voor enkel Windows producten en een die ook andere zaken zoals Linux toe laten. Die laatste is het meest voorkomend. Beide zitten in Hyper-V als je er mee wilt spelen.

Laten we met de Kaspersky methode beginnen, Kaspersky heeft een boot cd met antivirus die start met grub. Om hun CD aan te kunnen bieden aan de meeste gebruikers hebben zij hun grub laten ondertekenen bij Microsoft en konden ze op die manier om secureboot heen. Echter hun versie van Grub heeft niet de juiste checks dus je kon arbitrair iets anders in laden om vervolgens dus in een bootmenu te komen. Omdat wat je in kan laden ook uitzonderingen kan maken werken die boot sticks tot op zekere hoogte prima. Natuurlijk is dit een beveiligingsrisico en is daarom via Windows Update de hash van deze grub versie geblacklist en kun je deze methode enkel nog gebruiken als je dit ongedaan kunt maken.

Bedenk dus wel dat drivers in de kernel en de beperkingen die met secureboot gelden niet vam toepassing zijn op deze manier. Ook niet bij methode 2 waar je een distributie gebruikt en je binnen je bios GRUB's efi bestand whitelist. Ook dan heb je vrijwel geen beperkingen (althans niets gemerkt op manjaro terwijl die officieel geen secureboot ondersteuning heeft).

Dan is er nog de laatste methode, Shim. Die is generiek en kan alles starten dat op het systeem is goedgekeurd. Standaard zijn dat veilige versies van isolinux of grub die met de grote distributies worden meegegeven. Shim heeft geen ingebakken whitelist maar kijkt naar wat de firmware vertrouwd en kan dit ook zelf in het nvram zetten (wel afzonderlijk van waar je het in het bios beheert). Het is echter Shim die om zo generiek te mogen zijn moet voldoen aan strenge beveiligingseisen. En dan kom je in scenarios terecht dat je kernel modules en overige boot code vertrouwd moeten zijn. Dat kan weer door Shim te configureren om dergelijke zaken te vertrouwen.

Dat laatste doet Ventoy door het certificaat waarmee hun versie van Grub ondertekend is aan de gebruiker aan te bieden. Ook is er de MokManager die wel door Microsoft is ondertekend die het certificaat voor je kan vertrouwen. Op die manier leer je het systeem dat deze versie van Grub mag en kun je Ventoy gebruiken met secureboot. Ventoy kan dit zelf niet door de extreem hoge kosten en strenge eisen die Microsoft eist. Maar omdat je het handmatig vertrouwd wordt dit beschouwd als veilig en wordt Shim niet op de blacklist gegooit.

Dan is er tot slot nog een andere manier om dit te implementeren. Er is een oudere ook ondertekende tool die niet het certificaat maar de hash van grub vertrouwd vergelijkbaar met hoe ik dit doe in het bios. Dat is de methode waar ik voor gekozen heb voor mijn Easy2Boot stick. Het certificaat is zoals alle certificaten zeer lang maar beperkt houdbaar. Ik vind het persoonlijk prettiger om daar niet aan gebonden te zijn en vertrouw dus de hash van mijn grub loader die de beveiliging tijdelijk minder scherp zet. Op die manier werkt het vervolgens zoals de oude Kaspersky methode maar ik moet hem per PC wel 1 keer zelf vertrouwen.

Het enrollen gebeurt dus wel aan de zeide van Shim en is firmware onafhankelijk. Maar niet elke firmware heeft de benodigde keys die Linux toestaan.

[MokaNi]

Ik liep toevallig vorige week tegen hetzelfde issue aan. Aangezien ik met NTLite een "custom" Windows 11 installatie (unattended) wou maken, dacht ik Ventoy ook eens te proberen. Maar helaas pindakaas. Als je je USB-stick hebt geflashed m.b.v. Rufus werkt het om één of andere reden dan wel weer prima in UEFI-modus.

[EValentino]

Heb je dit al getest:

https://youtu.be/CuonyS3xdwg

Vanaf een minuut of 5 zie je de oplossing.

[Terry A Davis]

Dat is de video die duidelijk uitleg geeft hoe je Ventoy voor Secure Boot klaarmaakt. Echter ik herinner me deze video als volgt: Op een gegeven moment als je je UEFI Secure Boot USB stick opstart op echte hardware moet je van de Ventoy aangemaakte USB stick naar de key gaan, en die vervolgens 'enrollen' in het UEFI/BIOS. En dat is waarom Rufus wel werkt in een situatie waarin 'enrollen' van de key niet kan of niet gewenst is. Een andere reden waarom Rufus wel werkt is dat het geen SHIM is en Rufus gebruikt de originele \EFI\BOOT\BOOTx64.EFI met de key die erkend is door Microsoft Windows Secure Boot certified UEFI systemen en die key herkennen zonder 'enrollen'.

Wat soms vervelend is aan Secure Boot is je eigen kernel downloaden/aanpassen daarna moeten signen, en dan een key moeten genereren en vervolgens die key moeten 'enrollen' als je Linux werk doet bijvoorbeeld. Een systeem dat geinstalleerd is met Secure Boot en dan Secure Boot uitschakelen vertoond bizarre resultaten met ongesigneerde kernel(s).

Op dit moment adviseer ik mensen die willekeurige PC's moeten installeren waarbij Secure Boot verplicht is om helaas nog echt individuele USB sticks te maken. Omdat er altijd wel een PC is die het helemaal anders lijkt te willen hebben.

[EValentino]

Klopt, je moet een extra stap doen. Sommige daaropvolgende machines accepteren de Ventoy stick vervolgens zonder problemen, maar bij andere moet je het riedeltje weer opnieuw uitvoeren.

Hier moet toch wel een permanent oplossing voor zijn zou je denken? Dat zou de tool echt afmaken.

[Terry A Davis]

De permanente oplossing is de key eenmalig 'enrollen' inderdaad. Daarna herkent de UEFI/BIOS het de volgende keer, of totdat de UEFI/BIOS is gereset of de keys zijn 'geunrolled'. Heb zo geen beter woord om 'enrollen' te vertalen. Ik moest bijvoorbeeld een key 'enrollen' om op Linux de nVidia driver te draaien. De Grub Bootloader SHIM gebruikt de standaard Microsoft Key die vrijwel alle UEFI/BIOS moederborden vanuit de fabriek hebben.

Secure Boot heet juist zo, dat dit obstakel er is omdat dit de barriere is tegen Evil Maid attack e.d.

[EValentino]

Klopt maar als je hem vervolgens in een andere machine prikt, heb je dus kans dat het enrollen opnieuw moet uitvoeren..

Heb jij dat ook ervaren?

[Terry A Davis]

Net zoals anderen.

[rjmno1]

Voor de iso te maken op een usb stick heb je bij windows 11 bij microsoft zelf ook zo een tool en die zag niet zo uit als de media creation tool.Ze hadden daarvoor een andere tool gebruikt de naam is me ontschoten.

https://www.microsoft.com/nl-nl/software-download/windows11

veel plezier ermee!tpm2.0 op je bios enablen en secure eufi boot aan zetten.

gevonden deze moet je hebben.

https://rufus.ie/nl/#

veel plezier ermee

[Reactie gewijzigd door rjmno1 op 23 juli 2024 14:24]

[rixster]

Windows Security is duidelijk geen fan van Ventoy, het ene alarm na het andere

[SaiBork]

Geen idee wat jij doet.
- SmartScreen omdat het een nieuw bestand is, standaard
- UAC omdat je admin rechten nodig hebt

Dat zijn de enige prompts die je moet krijgen.

[rixster]

Edge weigert het te downloaden zonder tussenkomsten, Windows Security ziet een trojan en blokkeert het bestand, bij starten van de installatie adviseert Windows om het vooral toch maar niet te doen.
Allemaal prima op te lossen, maar lijkt eerder politiek dan echt beschermen, zie ook qbitorrent.

[Xfade]

Haal je het programma ergens anders weg dan van de github ?

[FreshMaker]

Haal je het programma ergens anders weg dan van de github ?

Via Github, maar voor het eerst zoveel 'meldingen'

* FreshMaker wacht ook even af, de vorige werkt ook nog prima

[rrrrrrrrr]

Virustotaal vindt iig niets...

https://www.virustotal.co...8daa495abef52ea8eb10057aa

[slechtvalk]

Dat is de Linux versie.

[Yoghoo]

Bitdefender vindt het ook niet leuk. Waarschijnlijk een false positive maar ik wacht wel op de volgende versie.

[BushWhacker]

>> Besturingssystemen Windows 7, Windows 8, Windows 10, Windows 11
Huh?

.Tar.gz, .iso en zip zijn beschikbaar voor Linux, MacOS en Windows.

Ik gebruik het nu al een tijdje op een https://tweakers.net/pric...lash-920-256gb-grijs.html Transcend USB-Stick. Werkt super.

[Magic Power]

Het is inderdaad beschikbaar voor Linux , Mac en Windows, en daarnaast kan het Linux Mac en Windows ISOs booten. Mag er inderdaad bij vermeld worden.

[TheVivaldi]

cc @Drobanir

[Magic Power]

De meeste USB sticks die ik heb zijn 8-16 GB groot, meer heb ik voor een USB stick normaal niet nodig. Maar speciaal voor Ventoy heb ik een 64 GB USB stick gekocht, zodat ik er fatsoenlijk wat ISOs op kan zetten.

[FreshMaker]

Hier een overgebleven nvme in externe behuizing gedaan, 128GB en is nu mijn recovery-toolkit

Met de juiste iso's heb je alles bij de hand

[LiquidCrystal]

Ontzettend fijne tool.
Niet alleen om installs mee te doen, maar ook om forensic tools en allerhande tools (zoals bijvoorbeeld Hirens BootCD e.d.) te gebruiken.

Maakte voorheen gebruik van EASY2BOOT, maar bij het vervangen van ISO’s vind ‘ie dat bij het booten van de ISO’s niet altijd even prettig (contiguous). Dat probleem heb ik met Ventoy nog niet gehad.
Ook UEFI boot is geen probleem.

Gebruik hem al een tijdje en kan hem echt aanraden.

[Daniel Jackson]

Hier nog een enorm tevreden gebruiker van deze tool.
Het was ideaal om live iso's van verschillende Linux-distributies snel uit te proberen, om te kijken welke het beste beviel om later echt te installeren.
En nu heb ik er bijvoorbeeld een backup tool en SystemRescue op staan om in noodgevallen snel zaken te kunnen herstellen.
Enige kleine nadeel is dat het niet zomaar opstart op een UEFI systeem met Secure Boot ingeschakeld. Dus je moet of Secure Boot uitschakelen of de key van Ventoy toevoegen.

[loewal]

Windows 11 Defender ziet het ook als een virus.
What to do...?

[slechtvalk]

Nu niet meer.

[Verwijderd]

Gebruik vergelijkbaar maar dan network boot opgezet op mijn nas.

[slechtvalk]

Wordt nu niet meer gedecteerd door Defender.

[GekkePrutser]

Ventoy is super

Vroeger gebruikte ik een Zalman externe HDD met CD-ROM emulatie vanaf ISOs, maar nu heb ik gewoon een Ventoy USB stick aan mijn sleutelhanger hangen. Inderdaad, het werkt niet altijd met secure boot maar het is goed genoeg.