Το CH-J Tools μπορεί να προσθέσει κλειδί μετακβαντικού τύπου ssh-mldsa44-ed25519 σε έναν διακομιστή μόνο όταν σε αυτόν εκτελείται OpenSSH 10.6 ή νεότερο. Το OpenSSH 10.6 (6 Οκτωβρίου 2026) είναι η πρώτη έκδοση με την τυποποιημένη μορφή αυτού του τύπου κλειδιού. Οι παλαιότερες εκδόσεις την απορρίπτουν. Ορισμένες από αυτές, όπως η 10.2p1 στο Ubuntu 26.04, αναγνωρίζουν μόνο μια πειραματική παραλλαγή …@openssh.com, την οποία δεν χρησιμοποιεί το CH-J Tools.
Κατά τη σύνταξη αυτού του οδηγού, το Ubuntu και το Debian δεν παρέχουν την 10.6 μέσω του apt. Αυτός ο οδηγός εγκαθιστά την επίσημη έκδοση OpenSSH 10.6p2 (5 Νοεμβρίου 2026, διορθώνει μια ευπάθεια παράκαμψης ελέγχου ταυτότητας με κωδικό πρόσβασης σε μεταγλωττίσεις για Linux χωρίς PAM) παράλληλα με το πακέτο της διανομής και ρυθμίζει την υπηρεσία ssh ώστε να τη χρησιμοποιεί.
Δοκιμάστηκε σε καθαρή εγκατάσταση Ubuntu 26.04.1 LTS: εγκατάσταση, σύνδεση με κλειδί ssh-mldsa44-ed25519, επανεκκίνηση και επαναφορά.
Πριν ξεκινήσετε
- Η συντήρηση αυτής της μεταγλώττισης είναι δική σας ευθύνη. Το
apt upgradeδεν θα παρέχει διορθώσεις ασφαλείας για αυτήν. Παρακολουθείτε τις σημειώσεις εκδόσεων του OpenSSH και επαναλάβετε τη διαδικασία με νεότερη έκδοση ή κάντε επαναφορά. - Διατηρήστε μια δεύτερη συνεδρία SSH ανοιχτή σε όλη τη διάρκεια της διαδικασίας. Ακόμη καλύτερα, εξασφαλίστε πρόσβαση στην κονσόλα (hypervisor, IPMI, κονσόλα υπολογιστικού νέφους).
- Δοκιμάστε πρώτα σε ένα δοκιμαστικό μηχάνημα.
- Χρειάζεστε δικαιώματα root, systemd, περίπου 1 GiB ελεύθερου χώρου στο
/var/tmpκαι πρόσβαση στο διαδίκτυο για τοaptκαι τη λήψη του OpenSSH.
Τι κάνει το σενάριο εντολών
- Εγκαθιστά τις εξαρτήσεις μεταγλώττισης με το
apt. - Κατεβάζει το
openssh-10.6p2.tar.gz. Επαληθεύει την προκαθορισμένη τιμή SHA-256 και την υπογραφή OpenPGP με το κλειδί εκδόσεων του OpenSSH7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA. - Μεταγλωττίζει και εγκαθιστά στο
/opt/openssh-10.6p2. Οι ρυθμίσεις σας στο/etc/ssh(κλειδιά διακομιστή,sshd_config) και οι ρυθμίσεις PAM παραμένουν αμετάβλητες. - Ελέγχει το τρέχον
sshd_configμε τη νέα έκδοση. Στη συνέχεια ξεκινά μια δοκιμαστική διεργασία στο127.0.0.1:2226και δεν αλλάζει τίποτα αν δεν ολοκληρωθούν επιτυχώς και οι δύο έλεγχοι. - Προσθέτει το συμπληρωματικό αρχείο ρυθμίσεων systemd
/etc/systemd/system/ssh.service.d/chj-openssh.confκαι απενεργοποιεί τοssh.socket, επειδή το sshd του αρχικού έργου δεν υποστηρίζει ενεργοποίηση μέσω socket. Έπειτα επανεκκινεί τοssh.service. - Ελέγχει ότι η διεργασία που εκτελείται είναι η
/opt/openssh-10.6p2/sbin/sshdκαι ότι το μήνυμα αναγνώρισης είναιSSH-2.0-OpenSSH_10.6. Αν αποτύχει οποιοσδήποτε από τους δύο ελέγχους, κάνει αυτόματα επαναφορά.
Εγκατάσταση
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01 chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh # read it before running it as root
sudo bash chj-openssh-10.6.sh install
Έπειτα ανοίξτε μια νέα σύνδεση SSH. Κλείστε την παλιά συνεδρία μόνο αφού λειτουργήσει η νέα σύνδεση.
Έλεγχος και επαναφορά
sudo bash chj-openssh-10.6.sh status # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback # back to the distribution sshd
Η επαναφορά καταργεί το συμπληρωματικό αρχείο ρυθμίσεων, ενεργοποιεί ξανά το ssh.socket αν ήταν ενεργό προηγουμένως και επανεκκινεί το sshd της διανομής. Η μεταγλώττιση στο /opt/openssh-10.6p2 παραμένει στον δίσκο μέχρι να τη διαγράψετε. Μετά την επαναφορά, τα κλειδιά ssh-mldsa44-ed25519 δεν λειτουργούν πλέον σε αυτόν τον διακομιστή.
Στη συνέχεια στο CH-J Tools
Συνδεθείτε ξανά στον διακομιστή. Στο Users, μπορείτε πλέον να προσθέσετε ένα κλειδί ssh-mldsa44-ed25519 από το Keychain. Αν ο διακομιστής εξακολουθεί να αναφέρει παλαιότερη έκδοση, το CH-J Tools εμφανίζει "OpenSSH 10.6 or newer is required" και δεν προσθέτει το κλειδί.