Ventoy s'ha posicionat com una eina popular que permet crear un pendrive multiboot, i com a tal, el seu objectiu és que els usuaris puguin copiar múltiples fitxers ISO a un pendrive i arrencar-los directament sense necessitat d'extreure'ls o modificar-los.
iVentoy, creada pel mateix desenvolupador de Ventoy, és una solució d'arrencada per xarxa (PXE), la qual ofereix a l'usuari la possibilitat de deixar de banda lús dun USB i en el seu lloc convertir el seu PC en un servidor des d'on altres equips poden arrencar imatges ISO a través de la xarxa local, sense necessitat de cap mitjà físic connectat a ells.
Actualment, iVentoy s'ha vist embolicat en una situació que ha generat inquietud a la comunitat de programari lliure, ja que fa poc es va detectar un comportament sospitós.
l'incident involucra la substitució del controlador httpdisk.sys al Windows durant el procés d'arrencada per xarxa, a més de la instal·lació d'un certificat autosignat al magatzem de certificats del sistema operatiu, cosa que va provocar alertes de seguretat per part de solucions antivirus i crítiques des de diversos fronts de l'ecosistema lliure.
Ventoy instal·la controladors del kernel de Windows insegurs
iVentoy https://github.com/ventoy/PXE/releases
iventoy-1.0.20-linux-free.tar.gz, iventoy-1.0.20-win32-free.zip, iventoy-1.0.20-win64-free.zip
Tots aquests fitxers de distribució contenen "\data\iventoy.dat" que l'aplicació iventoy desxifra en RAM a "\data\iventoy.dat.xz".
Sospites i alarmes
L'arxiu en qüestió, httpdisk.sys forma part del mecanisme d'iVentoy per muntar imatges de disc a través de HTTP durant instal·lacions de Windows. Tot i això, suplantar controladors del sistema i manipular certificats genera inevitablement desconfiança. Fins a 31 dels 70 antivirus utilitzats per escanejar l'arxiu van marcar una advertència per presència de possibles amenaces, cosa que va alimentar la percepció que iVentoy podria estar incloent-hi una porta del darrere encoberta.
Esta situació ha reviscut la preocupació per la seguretat en eines àmpliament utilitzades en entorns de desplegament i proves de sistemes operatius, especialment arran de l'escàndol amb XZ Utils, on també es va introduir codi maliciós disfressat com a funcionalitat legítima. El projecte Ventoy, del qual iVentoy és un derivat funcional, ja havia estat assenyalat anteriorment per l'ús de blobs binaris sospitosos al codi font.
Reaccions de la comunitat: cerca d'alternatives
La comunitat no va trigar a reaccionar, doncs els desenvolupadors de NixOS, Per exemple, van proposar reemplaçar Ventoy al repositori nixpkgs amb una bifurcació mantinguda per l'usuari fnr1r, mentre que altres veus van plantejar considerar alternatives com a glim. Aquesta desconfiança és perquè Ventoy i iVentoy comparteixen autoria i filosofia, encara que amb diferències: Ventoy és completament obert i se centra en l'arrencada des d'USB, mentre que iVentoy és parcialment tancat i està orientat a l'arrencada per xarxa (PXE).
L'autor respon: canvis promesos
El desenvolupador responsable dels dos projectes va intervenir en el debat amb una explicació tècnica del comportament observat. Segons ell, httpdisk.sys és un controlador de codi obert el propòsit del qual és muntar discos remots via HTTP, necessari per al funcionament d'iVentoy. La inserció del certificat autosignat seria una mesura per permetre que el controlador es carregui sense restriccions a l'entorn WinPE (Windows Preinstallation Environment), i no afecta el sistema operatiu Windows instal·lat al disc.
iVentoy continuarà sent de codi tancat.
Diu que httpdisk.sys és un controlador de codi obert i no és insegur.
De fet, quan iVentoy arrenca Windows mitjançant PXE, arrenca WinPE en mode de prova, per la qual cosa no cal signar el fitxer del controlador. Per tant, httpdisk_sig.sys no és necessari i es pot suprimir posteriorment.A més, el controlador httpdisk s'instal·larà només a l'entorn temporal WinPE (que s'executa a la RAM), no al sistema Windows final, per la qual cosa no afectarà el sistema Windows final instal·lat al disc dur.
PXE depèn de la xarxa, de manera que el controlador httpdisk sutilitza per obtenir les dades dinstal lació de Windows del servidor al client mitjançant http.
A més, no s'instal·larà al sistema Windows final.
Assegura, a més, que aquest comportament està documentat i que lús del certificat es limita a un entorn RAM efímer. Com a resposta directa a les crítiques, va anunciar que a la versió 1.0.21 d'iVentoy ja s'ha aturat la instal·lació del certificat autosignat. En canvi, s'utilitza WDKTestCert, una signatura de prova proporcionada pel kit de desenvolupament de controladors de Windows (WDK). També s'han afegit explicacions a la documentació del projecte per aclarir la funció de httpdisk.sys i la distinció entre Ventoy i iVentoy com a productes separats.
Pel que fa als binaris precompilats incrustats a Ventoy, l'autor va aclarir que aquests provenen de projectes de codi obert existents i que es fan servir sense modificacions. Tot i això, ha reconegut que podrien evitar-se preocupacions si els usuaris opten per compilar les seves pròpies versions des del codi font, cosa que es pot realitzar mitjançant GitHub CI.
Finalment si estàs interessat en poder conèixer més sobre això, pots consultar els detalls al següent enllaç.