OpenSSH 10.6 til postkvante-SSH-nøgler

Denne oversættelse er under sproglig gennemgang. Sammenlign uklare afsnit med den engelske original.

CH-J Tools kan kun tilføje den postkvantesikre nøgletype ssh-mldsa44-ed25519 til en server, hvis serveren kører OpenSSH 10.6 eller nyere. OpenSSH 10.6 (6. oktober 2026) er den første udgave med den standardiserede form af denne nøgletype. Ældre udgaver afviser den. Nogle af dem, såsom 10.2p1 i Ubuntu 26.04, kender kun en eksperimentel …@openssh.com-variant, som CH-J Tools ikke bruger.

I skrivende stund leverer Ubuntu og Debian ikke 10.6 via apt. Denne vejledning installerer den officielle OpenSSH 10.6p2 (5. november 2026, retter en fejl, der gør det muligt at omgå adgangskodegodkendelse i Linux-versioner bygget uden PAM) ved siden af distributionens pakke og indstiller tjenesten ssh til at bruge den.

Testet på en ren installation af Ubuntu 26.04.1 LTS: installation, login med en ssh-mldsa44-ed25519-nøgle, genstart og tilbagerulning.

Før du begynder

Du vedligeholder selv denne version. apt upgrade leverer ikke sikkerhedsrettelser til den. Hold øje med udgivelsesnoterne til OpenSSH, og gentag proceduren med en nyere udgave, eller rul tilbage.
Hold en ekstra SSH-session åben under hele proceduren. Endnu bedre er det at have konsoladgang (hypervisor, IPMI, cloudkonsol).
Prøv det først på en testmaskine.
Du skal have root-rettigheder, systemd, cirka 1 GiB ledig plads i /var/tmp og internetadgang til apt og download af OpenSSH.

Hvad scriptet gør

Det installerer afhængigheder til kompilering med apt.
Det henter openssh-10.6p2.tar.gz. Det kontrollerer den fastlagte SHA-256-kontrolsum og OpenPGP-signaturen med OpenSSH-udgivelsesnøglen 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA.
Det kompilerer og installerer i /opt/openssh-10.6p2. Din konfiguration i /etc/ssh (værtsnøgler, sshd_config) og PAM-konfigurationen forbliver uændrede.
Det kontrollerer den aktuelle sshd_config med den nye version. Derefter starter det en testinstans på 127.0.0.1:2226 og skifter først, når begge kontroller er bestået.
Det tilføjer den supplerende systemd-konfigurationsfil /etc/systemd/system/ssh.service.d/chj-openssh.conf og deaktiverer ssh.socket, fordi sshd fra det oprindelige projekt ikke understøtter socketaktivering. Derefter genstarter det ssh.service.
Det kontrollerer, at den kørende proces er /opt/openssh-10.6p2/sbin/sshd, og at banneret viser SSH-2.0-OpenSSH_10.6. Hvis en af kontrollerne mislykkes, ruller det automatisk tilbage.

Installation

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

Åbn derefter en ny SSH-forbindelse. Luk først den gamle session, når det nye login virker.

Kontrol og tilbagerulning

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

Tilbagerulningen fjerner den supplerende konfigurationsfil, aktiverer ssh.socket igen, hvis den var aktiveret før, og genstarter distributionens sshd. Den kompilerede version i /opt/openssh-10.6p2 bliver på disken, indtil du sletter den. Efter en tilbagerulning virker ssh-mldsa44-ed25519-nøgler ikke længere på den server.

Derefter i CH-J Tools

Opret forbindelse til serveren igen. Under Users kan du nu tilføje en ssh-mldsa44-ed25519-nøgle fra Keychain. Hvis serveren stadig rapporterer en ældre version, viser CH-J Tools "OpenSSH 10.6 or newer is required" og tilføjer ikke nøglen.