OpenSSH 10.6 kvanttiturvallisille SSH-avaimille

CH-J Tools voi lisätä kvanttiturvallisen avaintyypin ssh-mldsa44-ed25519 palvelimelle vain, jos palvelimella on käytössä OpenSSH 10.6 tai uudempi. OpenSSH 10.6 (6. lokakuuta 2026) on ensimmäinen julkaisu, joka tukee tämän avaintyypin standardoitua muotoa. Vanhemmat julkaisut hylkäävät sen. Jotkin niistä, kuten Ubuntu 26.04:n 10.2p1, tunnistavat vain kokeellisen …@openssh.com-muunnelman, jota CH-J Tools ei käytä.

Tätä ohjetta kirjoitettaessa Ubuntu ja Debian eivät tarjoa versiota 10.6 apt-paketinhallinnan kautta. Tässä ohjeessa asennetaan virallinen OpenSSH 10.6p2 (5. marraskuuta 2026, korjaa salasanatodennuksen ohittamisen mahdollistavan haavoittuvuuden ilman PAM-tukea käännetyissä Linux-versioissa) jakelun paketin rinnalle ja määritetään ssh-palvelu käyttämään sitä.

Testattu puhtaalla Ubuntu 26.04.1 LTS -asennuksella: asennus, kirjautuminen ssh-mldsa44-ed25519-avaimella, uudelleenkäynnistys ja muutosten peruminen.

Ennen aloittamista

Vastaat itse tämän käännöksen ylläpidosta. apt upgrade ei toimita siihen tietoturvakorjauksia. Seuraa OpenSSH:n julkaisutietoja ja toista toimenpiteet uudemmalla julkaisulla tai peru muutokset.
Pidä toinen SSH-istunto avoinna koko toimenpiteen ajan. Vielä parempi on varmistaa pääsy konsoliin (hypervisor, IPMI, pilvikonsoli).
Kokeile ensin testikoneella.
Tarvitset root-oikeudet, systemd:n, noin 1 GiB vapaata tilaa hakemistossa /var/tmp sekä internetyhteyden apt-paketinhallintaa ja OpenSSH:n lataamista varten.

Mitä skripti tekee

Asentaa kääntämiseen tarvittavat riippuvuudet apt-paketinhallinnalla.
Lataa tiedoston openssh-10.6p2.tar.gz. Tarkistaa ennalta määritetyn SHA-256-tarkistussumman sekä OpenPGP-allekirjoituksen OpenSSH:n julkaisuavaimella 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA.
Kääntää ohjelman ja asentaa sen hakemistoon /opt/openssh-10.6p2. Asetuksesi hakemistossa /etc/ssh (palvelimen avaimet, sshd_config) sekä PAM-asetukset säilyvät ennallaan.
Tarkistaa nykyisen sshd_config-tiedoston uudella versiolla. Käynnistää sitten testipalvelimen osoitteeseen 127.0.0.1:2226 eikä vaihda mitään käyttöön, elleivät molemmat tarkistukset onnistu.
Lisää systemd:n täydentävän asetustiedoston /etc/systemd/system/ssh.service.d/chj-openssh.conf ja poistaa ssh.socket-yksikön käytöstä, koska alkuperäisen projektin sshd ei tue aktivointia soketin kautta. Käynnistää sitten ssh.service-palvelun uudelleen.
Tarkistaa, että käynnissä oleva prosessi on /opt/openssh-10.6p2/sbin/sshd ja että tunnisterivi on SSH-2.0-OpenSSH_10.6. Jos jompikumpi tarkistus epäonnistuu, peruu muutokset automaattisesti.

Asennus

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

Avaa sitten uusi SSH-yhteys. Sulje vanha istunto vasta, kun kirjautuminen uudella yhteydellä toimii.

Tarkistus ja muutosten peruminen

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

Muutosten peruminen poistaa täydentävän asetustiedoston, ottaa ssh.socket-yksikön uudelleen käyttöön, jos se oli aiemmin käytössä, ja käynnistää jakelun sshd-palvelun uudelleen. Hakemistossa /opt/openssh-10.6p2 oleva käännös säilyy levyllä, kunnes poistat sen. Muutosten perumisen jälkeen ssh-mldsa44-ed25519-avaimet eivät enää toimi kyseisellä palvelimella.

Tämän jälkeen sovelluksessa CH-J Tools

Yhdistä palvelimeen uudelleen. Voit nyt lisätä Users-osiossa ssh-mldsa44-ed25519-avaimen Keychain-avainnipusta. Jos palvelin ilmoittaa edelleen vanhemman version, CH-J Tools näyttää viestin "OpenSSH 10.6 or newer is required" eikä lisää avainta.