# OpenSSH 10.6 til postkvante-SSH-nøgler

CH-J Tools kan kun tilføje den postkvantesikre nøgletype `ssh-mldsa44-ed25519` til en server, hvis serveren kører **OpenSSH 10.6 eller nyere**. OpenSSH 10.6 (6. oktober 2026) er den første udgave med den standardiserede form af denne nøgletype. Ældre udgaver afviser den. Nogle af dem, såsom 10.2p1 i Ubuntu 26.04, kender kun en eksperimentel `…@openssh.com`-variant, som CH-J Tools ikke bruger.

I skrivende stund leverer Ubuntu og Debian ikke 10.6 via `apt`. Denne vejledning installerer den officielle **OpenSSH 10.6p2** (5. november 2026, retter en fejl, der gør det muligt at omgå adgangskodegodkendelse i Linux-versioner bygget uden PAM) ved siden af distributionens pakke og indstiller tjenesten `ssh` til at bruge den.

Testet på en ren installation af Ubuntu 26.04.1 LTS: installation, login med en `ssh-mldsa44-ed25519`-nøgle, genstart og tilbagerulning.

## Før du begynder

- **Du vedligeholder selv denne version.** `apt upgrade` leverer ikke sikkerhedsrettelser til den. Hold øje med [udgivelsesnoterne til OpenSSH](https://www.openssh.com/releasenotes.html), og gentag proceduren med en nyere udgave, eller rul tilbage.
- Hold **en ekstra SSH-session åben** under hele proceduren. Endnu bedre er det at have konsoladgang (hypervisor, IPMI, cloudkonsol).
- Prøv det først på en testmaskine.
- Du skal have root-rettigheder, systemd, cirka 1 GiB ledig plads i `/var/tmp` og internetadgang til `apt` og download af OpenSSH.

## Hvad scriptet gør

1. Det installerer afhængigheder til kompilering med `apt`.
2. Det henter `openssh-10.6p2.tar.gz`. Det kontrollerer den fastlagte SHA-256-kontrolsum og OpenPGP-signaturen med OpenSSH-udgivelsesnøglen `7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA`.
3. Det kompilerer og installerer i `/opt/openssh-10.6p2`. Din konfiguration i `/etc/ssh` (værtsnøgler, `sshd_config`) og PAM-konfigurationen forbliver uændrede.
4. Det kontrollerer den aktuelle `sshd_config` med den nye version. Derefter starter det en testinstans på `127.0.0.1:2226` og skifter først, når begge kontroller er bestået.
5. Det tilføjer den supplerende systemd-konfigurationsfil `/etc/systemd/system/ssh.service.d/chj-openssh.conf` og deaktiverer `ssh.socket`, fordi sshd fra det oprindelige projekt ikke understøtter socketaktivering. Derefter genstarter det `ssh.service`.
6. Det kontrollerer, at den kørende proces er `/opt/openssh-10.6p2/sbin/sshd`, og at banneret viser `SSH-2.0-OpenSSH_10.6`. Hvis en af kontrollerne mislykkes, ruller det automatisk tilbage.

## Installation

```bash
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install
```

Åbn derefter en **ny** SSH-forbindelse. Luk først den gamle session, når det nye login virker.

## Kontrol og tilbagerulning

```bash
sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd
```

Tilbagerulningen fjerner den supplerende konfigurationsfil, aktiverer `ssh.socket` igen, hvis den var aktiveret før, og genstarter distributionens `sshd`. Den kompilerede version i `/opt/openssh-10.6p2` bliver på disken, indtil du sletter den. Efter en tilbagerulning virker `ssh-mldsa44-ed25519`-nøgler ikke længere på den server.

## Derefter i CH-J Tools

Opret forbindelse til serveren igen. Under **Users** kan du nu tilføje en `ssh-mldsa44-ed25519`-nøgle fra Keychain. Hvis serveren stadig rapporterer en ældre version, viser CH-J Tools "OpenSSH 10.6 or newer is required" og tilføjer ikke nøglen.