# OpenSSH 10.6 kvantkindlate SSH-võtmete jaoks

CH-J Tools saab lisada serverisse kvantkindla võtmetüübi `ssh-mldsa44-ed25519` ainult siis, kui serveris töötab **OpenSSH 10.6 või uuem**. OpenSSH 10.6 (6. oktoober 2026) on esimene väljalase, mis toetab selle võtmetüübi standarditud kuju. Vanemad väljalasked lükkavad selle tagasi. Mõned neist, näiteks Ubuntu 26.04 koosseisus olev 10.2p1, tunnevad ainult eksperimentaalset varianti `…@openssh.com`, mida CH-J Tools ei kasuta.

Selle juhendi kirjutamise ajal ei paku Ubuntu ega Debian versiooni 10.6 `apt` kaudu. See juhend paigaldab ametliku versiooni **OpenSSH 10.6p2** (5. november 2026, parandab parooliga autentimisest möödahiilimise vea Linuxi järkudes, mis on kompileeritud ilma PAM-ita) distributsiooni paketi kõrvale ja seadistab teenuse `ssh` seda kasutama.

Testitud Ubuntu 26.04.1 LTS-i puhtal paigaldusel: paigaldamine, sisselogimine võtmega `ssh-mldsa44-ed25519`, taaskäivitamine ja tagasipööramine.

## Enne alustamist

- **Selle järgu hooldamise eest vastutad ise.** `apt upgrade` ei too sellele turvaparandusi. Jälgi [OpenSSH väljalaskemärkmeid](https://www.openssh.com/releasenotes.html) ja korda toiminguid uuema väljalaskega või pööra muudatused tagasi.
- Hoia **teine SSH-seanss avatuna** kogu toimingu vältel. Veel parem, kui sul on juurdepääs konsoolile (hüperviisor, IPMI, pilvekonsool).
- Proovi seda esmalt testmasinas.
- Vaja on root-õigusi, systemd-d, umbes 1 GiB vaba ruumi asukohas `/var/tmp` ning internetiühendust `apt` kasutamiseks ja OpenSSH allalaadimiseks.

## Mida skript teeb

1. Paigaldab kompileerimiseks vajalikud sõltuvused `apt` abil.
2. Laadib alla faili `openssh-10.6p2.tar.gz`. Kontrollib etteantud SHA-256 kontrollsummat ja OpenPGP allkirja OpenSSH väljalaskevõtmega `7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA`.
3. Kompileerib ja paigaldab asukohta `/opt/openssh-10.6p2`. Sinu seadistus asukohas `/etc/ssh` (hostivõtmed, `sshd_config`) ja PAM-i seadistus jäävad muutmata.
4. Kontrollib praegust faili `sshd_config` uue versiooniga. Seejärel käivitab testeksemplari aadressil `127.0.0.1:2226` ega lülita midagi ümber enne, kui mõlemad kontrollid on edukalt läbitud.
5. Lisab systemd täiendava seadistusfaili `/etc/systemd/system/ssh.service.d/chj-openssh.conf` ja keelab üksuse `ssh.socket`, sest algprojekti sshd ei toeta sokli kaudu aktiveerimist. Seejärel taaskäivitab teenuse `ssh.service`.
6. Kontrollib, et töötav protsess oleks `/opt/openssh-10.6p2/sbin/sshd` ja tunnusrida oleks `SSH-2.0-OpenSSH_10.6`. Kui kumbki kontroll ebaõnnestub, pöörab muudatused automaatselt tagasi.

## Paigaldamine

```bash
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install
```

Seejärel ava **uus** SSH-ühendus. Sule vana seanss alles siis, kui uus sisselogimine õnnestub.

## Kontrollimine ja tagasipööramine

```bash
sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd
```

Tagasipööramine eemaldab täiendava seadistusfaili, lubab uuesti üksuse `ssh.socket`, kui see oli varem lubatud, ja taaskäivitab distributsiooni `sshd`. Järk asukohas `/opt/openssh-10.6p2` jääb kettale, kuni sa selle kustutad. Pärast tagasipööramist ei tööta võtmed `ssh-mldsa44-ed25519` selles serveris enam.

## Seejärel rakenduses CH-J Tools

Ühendu serveriga uuesti. Jaotises **Users** saad nüüd lisada võtmehoidlast Keychain võtme `ssh-mldsa44-ed25519`. Kui server teatab endiselt vanemast versioonist, kuvab CH-J Tools teate "OpenSSH 10.6 or newer is required" ega lisa võtit.