Ventoy и Secure Boot: загрузка через регистрацию MOK-ключа

Создали мультизагрузочную флешку через Ventoy, вставили в ноутбук, выбрали загрузку с USB — и вместо привычного меню появился синий экран с надписью Verification failed: 0x1A Security Violation? Это работа Secure Boot — функции UEFI, которая не пускает загрузчики без действительной цифровой подписи. Хорошая новость: Ventoy умеет обходить эту проверку через однократную регистрацию ключа MOK (Machine Owner Key). Разбираем процедуру по шагам.

Что такое Secure Boot и при чём здесь MOK

Secure Boot — технология UEFI, которая проверяет цифровую подпись каждого загрузчика перед его запуском. На современных компьютерах она включена по умолчанию (а для Windows 11 является обязательным требованием). Идея — защитить систему от руткитов и неподписанных вредоносных загрузчиков.

Проблема для Ventoy в том, что его загрузчик не подписан ключом Microsoft, который встроен в большинство UEFI. Но Ventoy идёт обходным путём: использует механизм MOK (Machine Owner Key) — расширение Secure Boot, позволяющее владельцу машины вручную добавить свой доверенный ключ. После регистрации система начинает «знать» Ventoy и пропускает его наравне с подписанными Microsoft загрузчиками.

Сама процедура регистрации делается один раз для каждой машины. Если потом перезаписать Ventoy на флешке или взять другую — на той же машине ключ уже зарегистрирован, повторять не нужно. А вот на новом компьютере процедуру придётся повторить с нуля.

Если непонятно, что такое Ventoy и для чего он нужен — читайте основное руководство по созданию мультизагрузочной флешки Ventoy с разбором функций.

Пошаговая регистрация MOK-ключа

Современные версии Ventoy при установке автоматически включают «Поддержку Secure Boot» — то есть на флешку добавляются файлы Shim и MokManager. Но просто наличие галочки не означает автоматическую загрузку — при первом запуске на машине с Secure Boot вы увидите синее окно с ошибкой 0x1A. Дальше — точная последовательность действий.

1. На экране Verification failed: 0x1A Security Violation нажмите клавишу Enter (или OK), чтобы продолжить.

2. Откроется интерфейс Shim UEFI Key Management. Программа предложит нажать любую клавишу в течение 10 секунд. Это критичный момент: если не успеть, компьютер автоматически продолжит загрузку с ошибкой или перезагрузится.

3. Вы попадаете в меню Perform MOK management. Стрелками выберите пункт Enroll key from disk и нажмите Enter.

4. Появится список доступных разделов. Найдите тот, который относится к вашей флешке — он имеет метку VTOYEFI. Раздел небольшой (32 МБ), это служебная часть Ventoy.

5. В содержимом раздела VTOYEFI найдите файл сертификата ENROLL_THIS_KEY_IN_MOKMANAGER.cer. Это и есть тот публичный ключ Ventoy, который нужно занести в доверенные. Выделите его и нажмите Enter.

6. Система предложит просмотреть ключ или продолжить. Выбирайте Continue — нет необходимости смотреть содержимое сертификата.

7. На вопрос «Enroll the key(s)?» переключитесь стрелками на Yes и нажмите Enter. Это финальное подтверждение — после него ключ запишется в энергонезависимую память материнской платы (NVRAM).

8. Вернётесь в главное меню MOK Management. Выберите Reboot для перезагрузки.

После перезагрузки, если в BIOS остался выбор загрузки с USB, Ventoy запустится без ошибок. Меню со списком ISO появится как обычно. Теперь можно ставить с флешки Windows, Linux, реаниматоры — Secure Boot уже доверяет Ventoy.

51010 отзывов

Microsoft Windows 11 Pro — бессрочный ключ

2 390 ₽1 990 ₽

В корзину

51010 отзывов

Microsoft Windows 10 Pro — бессрочный ключ

2 290 ₽1 890 ₽

В корзину

51010 отзывов

Microsoft Windows 11 Домашняя (Home) — бессрочный ключ

2 350 ₽1 950 ₽

В корзину

51010 отзывов

Microsoft Windows 11 Pro — бессрочный ключ

2 390 ₽1 990 ₽

В корзину

51010 отзывов

Microsoft Windows 10 Pro — бессрочный ключ

2 290 ₽1 890 ₽

В корзину

51010 отзывов

Microsoft Windows 11 Домашняя (Home) — бессрочный ключ

2 350 ₽1 950 ₽

В корзину

Если ничего не получилось: что ещё попробовать

Описанный механизм работает на большинстве современных компьютеров, но не везде. Есть несколько типичных проблемных конфигураций, где регистрация MOK-ключа не срабатывает:

• Старые ноутбуки HP с прошивкой InsydeH2O (модели до 2018 года) — MokManager иногда зависает на этапе записи ключа. Помогает только полное отключение Secure Boot.
• Серверные платформы Dell PowerEdge — Secure Boot в них настроен жёстко, без возможности добавлять собственные ключи через MokManager. Только отключение или подписание загрузчика корпоративным ключом.
• Некоторые ASUS ROG с включенным CSM — конфликт UEFI и Legacy мешает MokManager корректно работать. Решается отключением CSM в BIOS перед запуском.
• Корпоративные ноутбуки с TPM-сертификатами компании — там часто прописаны политики, запрещающие добавление сторонних ключей. Без админа сети не обойти.

Для всех этих случаев самый простой выход — временно отключить Secure Boot. Заходите в BIOS/UEFI (обычно F2, Del или F10 при старте), ищете раздел «Security» или «Boot», параметр Secure Boot — Disabled. Сохраняете, перезагружаетесь, ставите систему с Ventoy. После завершения установки Secure Boot можно включить обратно — Windows 10/11 с TPM 2.0 его поддерживают. Чтобы выбрать загрузку с флешки презде — смотрите подробное руководство по производителям.

Если флешка ещё не готова — создайте её заранее: инструкция по созданию флешки Windows 11 в Rufus или общее руководство по загрузке с флешки в BIOS и UEFI. После успешной загрузки читайте пошаговую инструкцию по установке Windows 11.

Часто задаваемые вопросы

Безопасно ли регистрировать MOK-ключ Ventoy?

Да. Ключ Ventoy — публичный сертификат разработчика проекта (Longpanda), регистрируется только на вашей машине. Это не открывает систему для других неподписанных загрузчиков — Secure Boot продолжает проверять подписи. Просто теперь Ventoy у вас в белом списке, как Microsoft.

Нужно ли регистрировать ключ заново после переформатирования флешки?

Нет. Ключ хранится в NVRAM материнской платы, а не на флешке. Можно перезаписать Ventoy любой другой версии, можно переформатировать флешку, можно взять другую — на той же машине Secure Boot продолжит доверять Ventoy.

Что делать, если меню MokManager не появляется?

Чаще всего это значит, что в BIOS поставлена слишком высокая степень защиты Secure Boot (Custom mode + строгие политики). Зайдите в BIOS, в раздел Secure Boot, и переведите режим из Custom в Standard. После этого MokManager должен корректно появиться при загрузке с Ventoy.

Можно ли использовать Ventoy без регистрации MOK-ключа?

Можно — но только при отключённом Secure Boot. Это законное решение, требует входа в BIOS. После установки системы Secure Boot стоит вернуть обратно для общей безопасности — на работу установленной Windows он уже не повлияет, проверяется будет только загрузчик системного диска (подписан Microsoft).