OpenSSH 10.6 لمفاتيح SSH ما بعد الكم

تخضع هذه الترجمة حاليًا لمراجعة لغوية. إذا كان أي جزء غير واضح، فقارنه بـالنص الإنجليزي الأصلي.

يمكن لـ CH-J Tools إضافة نوع المفاتيح المقاوم للهجمات الكمومية ssh-mldsa44-ed25519 إلى خادم فقط إذا كان الخادم يعمل بإصدار OpenSSH 10.6 أو أحدث. يُعد OpenSSH 10.6 (6 أكتوبر 2026) أول إصدار يدعم الصيغة المعيارية لهذا النوع من المفاتيح. ترفضه الإصدارات الأقدم. ولا تتعرف بعض هذه الإصدارات، مثل 10.2p1 في Ubuntu 26.04، إلا على صيغة تجريبية من نوع …@openssh.com لا تستخدمها CH-J Tools.

حتى وقت كتابة هذا الدليل، لا توفر Ubuntu وDebian الإصدار 10.6 عبر apt. يثبّت هذا الدليل الإصدار الرسمي OpenSSH 10.6p2 (5 نوفمبر 2026، يعالج ثغرة تتيح تجاوز المصادقة بكلمة المرور في نسخ Linux المبنية من دون PAM) إلى جانب حزمة التوزيعة، ويضبط خدمة ssh لاستخدامه.

اختُبر على تثبيت نظيف لـ Ubuntu 26.04.1 LTS: التثبيت، وتسجيل الدخول بمفتاح ssh-mldsa44-ed25519، وإعادة التشغيل، والتراجع عن التغييرات.

قبل البدء

تقع مسؤولية صيانة هذه النسخة المبنية عليك. لن يوفّر لها apt upgrade إصلاحات أمنية. تابع ملاحظات إصدارات OpenSSH وكرّر الإجراء بإصدار أحدث، أو تراجع عن التغييرات.
أبقِ جلسة SSH ثانية مفتوحة طوال الإجراء. والأفضل أن يتوفر لديك وصول إلى وحدة التحكم (عبر برنامج المحاكاة الافتراضية أو IPMI أو وحدة التحكم السحابية).
جرّب الإجراء على جهاز اختبار أولًا.
تحتاج إلى صلاحيات root وsystemd ونحو 1 GiB من المساحة الخالية في /var/tmp وإمكانية الوصول إلى الإنترنت لاستخدام apt وتنزيل OpenSSH.

ما يفعله البرنامج النصي

يثبّت اعتماديات البناء باستخدام apt.
ينزّل openssh-10.6p2.tar.gz. ويتحقق من قيمة SHA-256 المثبّتة مسبقًا ومن توقيع OpenPGP باستخدام مفتاح إصدارات OpenSSH ذي البصمة 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA.
يبني البرنامج ويثبّته في /opt/openssh-10.6p2. وتبقى إعداداتك في /etc/ssh (مفاتيح المضيف وsshd_config) وإعدادات PAM من دون تغيير.
يتحقق من ملف sshd_config الحالي باستخدام الإصدار الجديد. ثم يشغّل مثيلًا اختباريًا على 127.0.0.1:2226، ولا يجري أي تبديل ما لم ينجح كلا الفحصين.
يضيف ملف إعدادات systemd التكميلي /etc/systemd/system/ssh.service.d/chj-openssh.conf ويعطّل ssh.socket، لأن sshd الأصلي لا يدعم التنشيط عبر المقابس. ثم يعيد تشغيل ssh.service.
يتحقق من أن العملية قيد التشغيل هي /opt/openssh-10.6p2/sbin/sshd وأن نص التعريف هو SSH-2.0-OpenSSH_10.6. وإذا فشل أي من الفحصين، يتراجع عن التغييرات تلقائيًا.

التثبيت

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

بعد ذلك، افتح اتصال SSH جديدًا. لا تغلق الجلسة القديمة إلا بعد نجاح تسجيل الدخول الجديد.

التحقق والتراجع عن التغييرات

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

يزيل التراجع ملف الإعدادات التكميلي، ويعيد تفعيل ssh.socket إذا كان مفعّلًا من قبل، ويعيد تشغيل sshd الخاص بالتوزيعة. وتبقى النسخة المبنية في /opt/openssh-10.6p2 على القرص إلى أن تحذفها. وبعد التراجع، لن تعود مفاتيح ssh-mldsa44-ed25519 تعمل على ذلك الخادم.

الخطوة التالية في CH-J Tools

اتصل بالخادم مجددًا. يمكنك الآن في Users إضافة مفتاح ssh-mldsa44-ed25519 من Keychain. وإذا ظل الخادم يبلّغ عن إصدار أقدم، تعرض CH-J Tools الرسالة "OpenSSH 10.6 or newer is required" ولا تضيف المفتاح.