Ventoy и Secure Boot: загрузка через регистрацию MOK-ключа

Ошибка Verification failed: (0x1A) Security Violation при загрузке с флешки Ventoy означает, что включён Secure Boot, а ключа Ventoy в списке доверенных ключей этого компьютера ещё нет. Отключать Secure Boot не нужно. Нажмите Enter на синем экране, в MokManager выберите Enroll key from disk, затем раздел VTOYEFI и файл ENROLL_THIS_KEY_IN_MOKMANAGER.cer, подтвердите Yes и перезагрузитесь. Регистрация делается один раз на компьютер, но после перехода на Ventoy 1.1.14 и новее её придётся повторить: в этой версии сменился ключ.

Почему появляется ошибка 0x1A

Secure Boot — функция прошивки UEFI, которая запускает только загрузчики с доверенной цифровой подписью. Первым на флешке Ventoy стартует загрузчик-посредник shim с подписью Microsoft для сторонних загрузчиков, его прошивка пропускает. Дальше shim должен запустить сам Ventoy, а он подписан собственным ключом проекта. Этого ключа компьютер не знает, поэтому shim останавливается с ошибкой 0x1A и предлагает добавить ключ в базу MOK (Machine Owner Key), список ключей, которым владелец компьютера доверяет сам.

Ключ записывается в энергонезависимую память прошивки (NVRAM), а не на флешку. Поэтому после регистрации на этом компьютере загружается любая флешка с той же версией ключа, а на другом компьютере процедуру повторяют с начала. В документации Ventoy о Secure Boot это сформулировано так: шаги выполняются один раз для каждого компьютера при первой загрузке.

Ventoy 1.1.14 и новее: ключ нужно зарегистрировать заново

В журнале версий Ventoy 1.1.14 от 24 июня 2026 года записано обновление shim из-за перехода Microsoft на сертификат UEFI CA 2023 и новый ключ проекта. Разработчик прямо пишет, что при первой загрузке новый ключ нужно зарегистрировать. Версию 1.1.13 он отозвал как ошибочную, актуальная на 17 октября 2026 года — 1.1.18.

Разницу видно по самому файлу ключа в репозитории Ventoy. До 1.1.12 включительно ENROLL_THIS_KEY_IN_MOKMANAGER.cer был сертификатом с именем grub, выпущенным в 2019 году. С 1.1.14 это сертификат Ventoy Secure Boot Root CA от 20 июня 2026 года. Поэтому если компьютер раньше загружал Ventoy без ошибок, а после обновления флешки снова показывает 0x1A, ничего не сломалось: пройдите регистрацию ещё раз по шагам ниже. Старый ключ при этом остаётся в списке MOK и работе не мешает.

Как обновить Ventoy на флешке без потери образов, рассказано в статье «Ventoy: как сделать мультизагрузочную флешку».

Перед регистрацией: проверьте флешку и прошивку

Файлы для Secure Boot записываются на флешку, только если при установке Ventoy включён пункт «Поддержка Secure Boot». В Ventoy2Disk он находится в меню «Настройки» и включён по умолчанию, отмечен галочкой. Если галочку снимали, включите её и нажмите «Обновить»: образы на флешке останутся.

Пункт «Поддержка Secure Boot» в Ventoy2Disk. Кадр старой версии, где меню называлось «Опции»

Второе условие касается прошивки. Документация Ventoy предупреждает, что на части компьютеров нужно разрешить сторонний сертификат Microsoft: пункт называется Allow Microsoft 3rd Party UEFI CA или похоже, в зависимости от производителя. На странице приведены примеры для ThinkPad, Surface, HP и Dell. Без него прошивка не доверяет shim, и до синего окна MokManager загрузка не доходит.

Как зарегистрировать ключ Ventoy в MokManager

Вставьте флешку, выберите её в меню загрузки (как открыть его на своей модели, смотрите в руководстве по Boot Menu). Все экраны MokManager на английском, управление только клавиатурой: стрелки и Enter.

Шаг 1. На экране ERROR с текстом Verification failed: (0x1A) Security Violation нажмите Enter, выделена кнопка OK.

Ошибка 0x1A при первой загрузке Ventoy

Шаг 2. Откроется Shim UEFI key management с надписью Press any key to perform MOK management. Нажмите любую клавишу, пока внизу идёт отсчёт Booting in 10 seconds. Не успели — компьютер продолжит загрузку без регистрации, тогда перезагрузитесь и начните с шага 1.

Десять секунд, чтобы нажать любую клавишу

Шаг 3. В меню Perform MOK management выберите Enroll key from disk.

Пункт Enroll key from disk

Шаг 4. В окне Select Key выберите раздел VTOYEFI. Это служебный раздел Ventoy размером 32 МБ, в котором лежат загрузчики.

Раздел VTOYEFI на флешке

Шаг 5. В корне раздела рядом с папками grub, ventoy, EFI и tool лежит файл ENROLL_THIS_KEY_IN_MOKMANAGER.cer. Выделите его и нажмите Enter.

Файл ключа в корне VTOYEFI

Шаг 6. В окне Enroll MOK выберите Continue. Пункт View key 0 показывает содержимое сертификата: для новой версии там будет Ventoy Secure Boot Root CA. Затем на вопрос Enroll the key(s)? выберите Yes.

Continue, затем Yes

Шаг 7. В меню Perform MOK management теперь первым стоит Reboot. Выберите его, компьютер перезагрузится.

Перезагрузка после регистрации ключа

После перезагрузки снова выберите флешку в меню загрузки, и откроется обычный список образов Ventoy. Ошибки 0x1A на этом компьютере больше не будет, пока вы не удалите ключ или не перейдёте на Ventoy с другим ключом.

4.971088 отзывов

Microsoft Windows 11 Pro — бессрочный ключ

2 870 ₽2 470 ₽

В корзину

4.971088 отзывов

Microsoft Windows 11 Домашняя (Home) — бессрочный ключ

2 770 ₽2 370 ₽

В корзину

4.971088 отзывов

Microsoft Windows 10 Pro — бессрочный ключ

2 770 ₽2 370 ₽

В корзину

4.971088 отзывов

Microsoft Windows 11 Pro — бессрочный ключ

2 870 ₽2 470 ₽

В корзину

4.971088 отзывов

Microsoft Windows 11 Домашняя (Home) — бессрочный ключ

2 770 ₽2 370 ₽

В корзину

4.971088 отзывов

Microsoft Windows 10 Pro — бессрочный ключ

2 770 ₽2 370 ₽

В корзину

Дистрибутивы: Microsoft Windows 11 Professional, Microsoft Windows 11 Домашняя (Home), Microsoft Windows 10 Professional.

Что Ventoy делает с Secure Boot после регистрации

Это стоит знать до того, как нажать Yes. По умолчанию Ventoy полностью обходит проверку Secure Boot для того, что запускает сам: в документации сказано, что любые EFI-файлы загружаются без проверки подписи. Так Ventoy запускает и неподписанные образы Linux или утилит. Сам Secure Boot компьютера при этом остаётся включённым, установленная Windows грузится с проверкой подписей, как и раньше.

Если нужно, чтобы образы с флешки тоже проходили проверку, в Ventoy 1.1.14 появился параметр VTOY_SECURE_BOOT_POLICY глобального плагина Control. Значение «0» (по умолчанию) обходит проверку, «1» соблюдает политику Secure Boot. Создайте на основном разделе флешки папку ventoy, а в ней файл ventoy.json с таким содержимым:

{
  "control": [
    { "VTOY_SECURE_BOOT_POLICY": "1" }
  ]
}

Если файл ventoy.json уже есть, добавьте элемент { "VTOY_SECURE_BOOT_POLICY": "1" } в его массив control, отделив его запятой от предыдущего элемента: второй массив control в файле не нужен. Проверить файл можно в меню Ventoy по клавише F5 (Tools), пункт Check plugin json configuration (ventoy.json). С политикой «1» Ventoy следует политике Secure Boot прошивки: образы, EFI-файлы которых не проходят проверку подписи, при включённом Secure Boot загружаться перестанут. Список образов, которые останутся рабочими, документация не приводит, поэтому после смены политики проверьте загрузку нужных ISO.

Если вместо MokManager другая ошибка

Документация Ventoy честно предупреждает, что решение подходит не всем компьютерам. Если вместо синего окна с 0x1A появляется другой экран ошибки, механизм на этой модели не работает. Тогда отключите в Ventoy2Disk пункт «Поддержка Secure Boot» и выключите Secure Boot в настройках прошивки на время загрузки с флешки. Где он находится и как вернуть его после установки, смотрите в статье «Secure Boot в Windows: что это и как настроить».

Если ошибка Secure Boot Violation появляется не с флешкой, а при обычном включении компьютера, причина другая, её разбирает статья про Secure Boot Violation и Invalid signature detected. О замене сертификатов Microsoft 2011 года на сертификаты 2023 года, из-за которой Ventoy и сменил ключ, рассказано в материале «Сертификаты Secure Boot 2026».

Как удалить ключ Ventoy из списка MOK

Для этого у проекта есть отдельный образ ventoy-delete-key, он описан на странице об удалении ключа. Скачайте ISO со страницы выпусков на GitHub, скопируйте на флешку Ventoy и загрузите его из меню Ventoy. Образ пометит ключ к удалению и сообщит, что удалить его нужно паролем 123 после перезагрузки в MokManager. Учтите, что инструкция на сайте Ventoy показана на версии 1.0.77 со старым ключом grub, а удаляет ли образ новый ключ Ventoy Secure Boot Root CA из версий 1.1.14 и новее, разработчик не сообщает.

После автоматической перезагрузки снова откроется Shim UEFI key management: нажмите любую клавишу, пока идёт отсчёт. В меню Perform MOK management появится новый пункт Delete MOK. Выберите его, затем Continue, на вопрос Delete the key(s)? выберите Yes, в поле Password введите 123 и нажмите Enter, затем выберите Reboot. После этого флешка Ventoy снова покажет ошибку 0x1A, а ключ можно зарегистрировать заново.

Часто задаваемые вопросы

Нужно ли регистрировать ключ заново после обновления Ventoy?

Да, если вы перешли с версии 1.1.12 или более ранней на 1.1.14 и новее. В 1.1.14 сменился ключ Secure Boot, поэтому при первой загрузке обновлённой флешки снова появится 0x1A. Между версиями с одним ключом, например 1.1.14 и 1.1.18, повторять не нужно.

Нужно ли регистрировать ключ для каждой флешки?

Нет. Ключ хранится в памяти прошивки компьютера, а не на флешке. После регистрации на этом компьютере загрузится любая флешка Ventoy с тем же ключом. На другом компьютере регистрацию проходят заново.

Безопасно ли регистрировать MOK-ключ Ventoy?

Да, если ключ взят с флешки, записанной официальным Ventoy2Disk. Учтите, что по умолчанию Ventoy запускает образы с флешки без проверки подписи. Строгую проверку включает параметр VTOY_SECURE_BOOT_POLICY со значением 1 в ventoy.json.

Что делать, если не успел нажать клавишу в Shim UEFI key management?

Перезагрузитесь и снова выберите флешку в меню загрузки. Экран с ошибкой 0x1A и десятисекундный отсчёт появятся опять. Нажмите Enter на ошибке, затем сразу любую клавишу, чтобы открыть меню MOK.

Можно ли загрузить Ventoy без регистрации ключа?

Да, но только при выключенном Secure Boot в настройках прошивки. После загрузки с флешки и установки системы Secure Boot можно включить обратно, на загрузку Windows с диска это не повлияет.

Почему после регистрации ключа Ventoy всё равно не загружается?

Нет единой причины, проверьте три вещи. Включён ли в прошивке сторонний сертификат Microsoft (Allow Microsoft 3rd Party UEFI CA), стоит ли галочка «Поддержка Secure Boot» в Ventoy2Disk и совпадает ли версия ключа с версией Ventoy на флешке.