OpenSSH 10.6 kvantkindlate SSH-võtmete jaoks

Selle tõlke keeleline läbivaatamine on pooleli. Ebaselguse korral võrrelge ingliskeelse originaaliga.

CH-J Tools saab lisada serverisse kvantkindla võtmetüübi ssh-mldsa44-ed25519 ainult siis, kui serveris töötab OpenSSH 10.6 või uuem. OpenSSH 10.6 (6. oktoober 2026) on esimene väljalase, mis toetab selle võtmetüübi standarditud kuju. Vanemad väljalasked lükkavad selle tagasi. Mõned neist, näiteks Ubuntu 26.04 koosseisus olev 10.2p1, tunnevad ainult eksperimentaalset varianti …@openssh.com, mida CH-J Tools ei kasuta.

Selle juhendi kirjutamise ajal ei paku Ubuntu ega Debian versiooni 10.6 apt kaudu. See juhend paigaldab ametliku versiooni OpenSSH 10.6p2 (5. november 2026, parandab parooliga autentimisest möödahiilimise vea Linuxi järkudes, mis on kompileeritud ilma PAM-ita) distributsiooni paketi kõrvale ja seadistab teenuse ssh seda kasutama.

Testitud Ubuntu 26.04.1 LTS-i puhtal paigaldusel: paigaldamine, sisselogimine võtmega ssh-mldsa44-ed25519, taaskäivitamine ja tagasipööramine.

Enne alustamist

Selle järgu hooldamise eest vastutad ise. apt upgrade ei too sellele turvaparandusi. Jälgi OpenSSH väljalaskemärkmeid ja korda toiminguid uuema väljalaskega või pööra muudatused tagasi.
Hoia teine SSH-seanss avatuna kogu toimingu vältel. Veel parem, kui sul on juurdepääs konsoolile (hüperviisor, IPMI, pilvekonsool).
Proovi seda esmalt testmasinas.
Vaja on root-õigusi, systemd-d, umbes 1 GiB vaba ruumi asukohas /var/tmp ning internetiühendust apt kasutamiseks ja OpenSSH allalaadimiseks.

Mida skript teeb

Paigaldab kompileerimiseks vajalikud sõltuvused apt abil.
Laadib alla faili openssh-10.6p2.tar.gz. Kontrollib etteantud SHA-256 kontrollsummat ja OpenPGP allkirja OpenSSH väljalaskevõtmega 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA.
Kompileerib ja paigaldab asukohta /opt/openssh-10.6p2. Sinu seadistus asukohas /etc/ssh (hostivõtmed, sshd_config) ja PAM-i seadistus jäävad muutmata.
Kontrollib praegust faili sshd_config uue versiooniga. Seejärel käivitab testeksemplari aadressil 127.0.0.1:2226 ega lülita midagi ümber enne, kui mõlemad kontrollid on edukalt läbitud.
Lisab systemd täiendava seadistusfaili /etc/systemd/system/ssh.service.d/chj-openssh.conf ja keelab üksuse ssh.socket, sest algprojekti sshd ei toeta sokli kaudu aktiveerimist. Seejärel taaskäivitab teenuse ssh.service.
Kontrollib, et töötav protsess oleks /opt/openssh-10.6p2/sbin/sshd ja tunnusrida oleks SSH-2.0-OpenSSH_10.6. Kui kumbki kontroll ebaõnnestub, pöörab muudatused automaatselt tagasi.

Paigaldamine

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

Seejärel ava uus SSH-ühendus. Sule vana seanss alles siis, kui uus sisselogimine õnnestub.

Kontrollimine ja tagasipööramine

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

Tagasipööramine eemaldab täiendava seadistusfaili, lubab uuesti üksuse ssh.socket, kui see oli varem lubatud, ja taaskäivitab distributsiooni sshd. Järk asukohas /opt/openssh-10.6p2 jääb kettale, kuni sa selle kustutad. Pärast tagasipööramist ei tööta võtmed ssh-mldsa44-ed25519 selles serveris enam.

Seejärel rakenduses CH-J Tools

Ühendu serveriga uuesti. Jaotises Users saad nüüd lisada võtmehoidlast Keychain võtme ssh-mldsa44-ed25519. Kui server teatab endiselt vanemast versioonist, kuvab CH-J Tools teate "OpenSSH 10.6 or newer is required" ega lisa võtit.