{"id":13885,"date":"2025-02-08T18:00:00","date_gmt":"2025-02-08T16:00:00","guid":{"rendered":"https:\/\/u-labs.de\/portal\/?p=13885"},"modified":"2025-02-09T20:14:51","modified_gmt":"2025-02-09T18:14:51","slug":"ventoy-uefi-startet-nicht-mehr","status":"publish","type":"post","link":"https:\/\/u-labs.de\/portal\/ventoy-uefi-startet-nicht-mehr\/","title":{"rendered":"Ventoy 1.0.99 startet auf UEFI nicht mehr: Das hilft"},"content":{"rendered":"

Failed to open \\EFI\\BOOT\\`- Invalid Parameter<\/code> ist die erste Zeile, die man beim Booten von Ventoy 1.0.99 zu Gesicht bekommt. Neben Ventoy sind auch GNU\/Linux Distributionen wie Fedora betroffen. Dort liegt allerdings nicht die Ursache, sondern im Shim, der wiederum f\u00fcr UEFI Secure Boot zur freiwilligen Pflicht<\/em> geworden ist.<\/p>\n

Das Problem<\/h2>\n

Tritt nur auf, wenn ausschlie\u00dflich Secure Boot im UEFI aktiviert ist. Viele UEFI-Implementierungen haben (noch) einen Kompatibilit\u00e4tsmodus, in dem sie sich wie der Vorg\u00e4nger (BIOS) verhalten. Die Einstellung dazu hei\u00dft meist Legacy mode<\/em> oder CMOS mode<\/em>. Je nach Hersteller l\u00e4sst sich nur einer der beiden Varianten aktivieren bzw. Secure Boot ist an UEFI gebunden. Manche erlauben auch eine Priorisierung: Beispielsweise bevorzugt UEFI starten und nur wenn das fehlschl\u00e4gt, zur\u00fcck zum BIOS-Modus.<\/p>\n

In diesem Falle erscheint der Fehler ebenfalls, allerdings funktioniert Ventoy trotzdem – wird danach allerdings im BIOS Modus geladen, also ohne Secure Boot. Daher startet es selbst zum ersten Mal auf einem Ger\u00e4t direkt in die Hauptoberfl\u00e4che und \u00fcberspringt die Schl\u00fcsselverwaltung.<\/p>\n

\n
\"\"<\/a><\/figure>\n<\/div>\n

Wegen eines Tests f\u00fcr einen anderen Beitrag brauchte ich eine Installation mit Secure Boot. Der Dell OptiPlex 7040 unterst\u00fctzt das nur bei der Deaktivierung des BIOS-Modus, d.H. dieser wird erzwungen. Nach obiger Fehlermeldung meldet Ventoy Security Violation<\/em> und bricht einige Sekunden sp\u00e4ter ab – ohne M\u00f6glichkeit, den Schl\u00fcssel hinterlegen zu k\u00f6nnen.<\/p>\n

\n
\"\"<\/a><\/figure>\n<\/div>\n

Das UEFI wei\u00df dann auch nicht mehr weiter und fragt, was es nun tun soll.<\/p>\n

\n
\"\"<\/a><\/figure>\n<\/div>\n

Kontext: UEFI & Secure Boot zusammengefasst<\/h2>\n

Geht tiefer in Details, wie UEFI-Systeme mit Secure Boot starten. Die Grundidee dahinter: Man m\u00f6chte den Startprozess in der Anfangsphase absichern. Das BIOS war simpel aufgebaut – In der Startreihenfolge sind verschiedene Medien (SSD\/HDD, USB, Netzwerk usw.) definiert. Er versucht, nacheinander von jedem Medium zu starten, bis er ein startbares findet. Dort liegt im Regelfall ein Bootloader, der das Betriebssystem startet. Wer physischen Zugriff zum System hat, kann theoretisch Ver\u00e4nderungen vornehmen. Dank BIOS\/UEFI Upgrades aus dem laufenden Betriebssystem heraus sind sogar Manipulationen der Firmware denkbar – in der Praxis selten.<\/p>\n

Secure Boot setzt an, bevor das UEFI an den Bootloader \u00fcbergibt und erlaubt nur noch bestimmte signierte Bootloader. Versucht man einen anderen (oder manipulierten) Bootloader zu starten, weicht die Pr\u00fcfsumme ab – das UEFI verweigert den Start. In der Praxis ist das im Detail noch kompliziert. Au\u00dferdem funktioniert es alles andere als reibungslos, wie es dieser theoretische Ablauf vermuten l\u00e4sst. Microsoft hielt es nicht davon ab, Secure Boot ab Windows 8 (2012) stark zu f\u00f6rdern.<\/p>\n

Einer der gr\u00f6\u00dften Kritikpunkte daran ist: Um Signaturen pr\u00fcfen zu k\u00f6nnen, bedarf es einer Stelle, die das beurteilt. \u00dcblicherweise liefern Mainboard-Hersteller nur die Zertifikate von Microsoft aus.1<\/a><\/sup> MS hat somit das Monopol f\u00fcr die Entscheidung, welche Bootloader starten d\u00fcrfen. Ein Gl\u00fcck, dass MS so gn\u00e4dig war, Shim zu signieren. Das ist ein Bootloader, der andere Bootloader nachladen kann. Unter GNU\/Linux ist das meist ein Grub.2<\/a><\/sup> Zusammengefasst wird schnell klar: Der Startprozess ist damit deutlich komplizierter geworden. Beim klassischen BIOS reichte die korrekte Startreihenfolge in der Regel aus.<\/p>\n

Die Ursache<\/h2>\n

Liegt in den load options<\/em> von UEFI, die dort als EFI_LOAD_OPTION<\/code> definiert sind.3<\/a><\/sup> Soweit ich es verstehe, geht es dabei um Parameter f\u00fcr den Bootloader,4<\/a><\/sup> den Shim laden soll (second stage bootloader<\/em>). Der Code von load-options.c<\/code> ist schwer nachzuvollziehen. <\/p>\n

Je nach Aufrufquelle scheinen diese Optionen unterschiedlich anzukommen. Bisher wurde gepr\u00fcft, ob s\u00e4mtliche Buchstaben der Zeichenkette NUL<\/code> sind (also \\0<\/code>). Laut dem Pull Request rufen sie manche mit NUL gefolgt von F\u00fcllmaterial und einem Dateipfad auf.5<\/a><\/sup> Das Problem scheint mit anderen ebenfalls zu existieren, die laut Code-Doku L"\\0\\0"<\/code> \u00fcbermitteln. Im Shim wurde die Pr\u00fcfung abge\u00e4ndert: Wenn diese im ersten Zeichen mit \\0<\/code> beginnen, verwirft er sie.6<\/a><\/sup> Anscheinend ist Ventoy einer von ihnen.<\/p>\n

Klingt nach Chaos. Die Entwickler machen um die Umst\u00e4nde kein Geheimnis und beschreiben es wie folgt:<\/p>\n

\n

So, load options are a giant pain in the ass.<\/p>\n<\/blockquote>\n

Der Workaround<\/h2>\n

Das Problem ist seit mehreren Monaten bekannt und tritt vor allem mit Ger\u00e4ten von Dell auf.7<\/a><\/sup> Bei mir war es ein Dell OptiPlex 7040. Neben der Deaktivierung von Secure Boot gibt es einen Workaround. F\u00fcr einen anderen Beitrag ben\u00f6tigte ich jedoch auf dem Testsystem zwingend Secure Boot, da die Windows 11 24H2 Builds ansonsten keine Zwangsverschl\u00fcsselung mit Bitlocker durchf\u00fchren<\/a>.<\/p>\n

Lediglich ein Downgrade von Version 1.0.99 auf die vorherige 1.0.98 blieb somit als Workaround. Die \u00e4lteren Versionen sind im Archiv von Ventoy selbst zu finden.8<\/a><\/sup> Gl\u00fccklicherweise unterst\u00fctzt Ventoy2Disk auch das Herunterstufen der Version auf eine \u00e4ltere. Durch Aufrufen der Anwendung aus dem \u00e4lteren Paket war das auf identischem Wege m\u00f6glich, wie man es sonst bei Upgrades durchf\u00fchrt. Mit 1.0.98 funktionierte der Start wieder.<\/p>\n

\n
\"\"<\/a><\/figure>\n<\/div>\n
    \n
  1. https:\/\/www.thomas-krenn.com\/de\/wiki\/UEFI_Secure_Boot<\/a> \u21a9\ufe0e<\/a><\/li>\n
  2. https:\/\/www.pro-linux.de\/news\/1\/19063\/uefi-secure-boot-technische-beschreibung-von-shim.html<\/a> \u21a9\ufe0e<\/a><\/li>\n
  3. https:\/\/uefi.org\/specs\/UEFI\/2.10\/03_Boot_Manager.html#load-options<\/a> \u21a9\ufe0e<\/a><\/li>\n
  4. https:\/\/forum.osdev.org\/viewtopic.php?t=55992<\/a> \u21a9\ufe0e<\/a><\/li>\n
  5. https:\/\/github.com\/rhboot\/shim\/pull\/505<\/a> \u21a9\ufe0e<\/a><\/li>\n
  6. https:\/\/github.com\/rhboot\/shim\/pull\/505\/commits\/72cd577ef0cea5d0e7fef4e98c2bbacf3b6a7210<\/a> \u21a9\ufe0e<\/a><\/li>\n
  7. https:\/\/forums.ventoy.net\/showthread.php?tid=2896&pid=8578#pid8578<\/a> \u21a9\ufe0e<\/a><\/li>\n
  8. https:\/\/www.ventoy.net\/en\/downloadold.html<\/a> \u21a9\ufe0e<\/a><\/li>\n<\/ol>\n","protected":false},"excerpt":{"rendered":"

    Failed to open \\EFI\\BOOT\\`- Invalid Parameter ist die erste Zeile, die man beim Booten von Ventoy 1.0.99 zu Gesicht bekommt. Neben Ventoy sind auch GNU\/Linux Distributionen wie Fedora betroffen. Dort liegt allerdings nicht die Ursache, sondern im Shim, der wiederum f\u00fcr UEFI Secure Boot zur freiwilligen Pflicht geworden ist. Das Problem Tritt nur auf, wenn …<\/p>\n","protected":false},"author":5,"featured_media":14563,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":"[{\"content\":\"https:\/\/www.thomas-krenn.com\/de\/wiki\/UEFI_Secure_Boot<\/a>\",\"id\":\"7164b2e1-d33d-4ba7-92a7-078c13c6b778\"},{\"content\":\"https:\/\/www.pro-linux.de\/news\/1\/19063\/uefi-secure-boot-technische-beschreibung-von-shim.html<\/a>\",\"id\":\"05fbd57f-7f4d-4a32-828e-700b3913b155\"},{\"content\":\"https:\/\/uefi.org\/specs\/UEFI\/2.10\/03_Boot_Manager.html#load-options<\/a>\",\"id\":\"d9a35853-703d-4bc4-9efc-90a9fea31fe1\"},{\"content\":\"https:\/\/forum.osdev.org\/viewtopic.php?t=55992<\/a>\",\"id\":\"9fb3ac53-2a76-4f0e-9c3a-a044b8001ed6\"},{\"content\":\"https:\/\/github.com\/rhboot\/shim\/pull\/505<\/a>\",\"id\":\"5c371312-9615-4b7f-bbbc-58b1cbd4efe7\"},{\"content\":\"https:\/\/github.com\/rhboot\/shim\/pull\/505\/commits\/72cd577ef0cea5d0e7fef4e98c2bbacf3b6a7210<\/a>\",\"id\":\"eb9aaacf-80b7-4397-970b-03e7c8a0ec02\"},{\"content\":\"https:\/\/forums.ventoy.net\/showthread.php?tid=2896&pid=8578#pid8578<\/a>\",\"id\":\"5575981e-7523-42cd-9dad-9708268a6306\"},{\"content\":\"https:\/\/www.ventoy.net\/en\/downloadold.html<\/a>\",\"id\":\"ca4b615c-fa12-44b1-adac-eecc8027e394\"}]"},"categories":[78],"tags":[1077],"class_list":["post-13885","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-software","tag-ventoy"],"_links":{"self":[{"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/posts\/13885","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/comments?post=13885"}],"version-history":[{"count":9,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/posts\/13885\/revisions"}],"predecessor-version":[{"id":14565,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/posts\/13885\/revisions\/14565"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/media\/14563"}],"wp:attachment":[{"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/media?parent=13885"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/categories?post=13885"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/u-labs.de\/portal\/wp-json\/wp\/v2\/tags?post=13885"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}