# OpenSSH 10.6 kvanttiturvallisille SSH-avaimille

CH-J Tools voi lisätä kvanttiturvallisen avaintyypin `ssh-mldsa44-ed25519` palvelimelle vain, jos palvelimella on käytössä **OpenSSH 10.6 tai uudempi**. OpenSSH 10.6 (6. lokakuuta 2026) on ensimmäinen julkaisu, joka tukee tämän avaintyypin standardoitua muotoa. Vanhemmat julkaisut hylkäävät sen. Jotkin niistä, kuten Ubuntu 26.04:n 10.2p1, tunnistavat vain kokeellisen `…@openssh.com`-muunnelman, jota CH-J Tools ei käytä.

Tätä ohjetta kirjoitettaessa Ubuntu ja Debian eivät tarjoa versiota 10.6 `apt`-paketinhallinnan kautta. Tässä ohjeessa asennetaan virallinen **OpenSSH 10.6p2** (5. marraskuuta 2026, korjaa salasanatodennuksen ohittamisen mahdollistavan haavoittuvuuden ilman PAM-tukea käännetyissä Linux-versioissa) jakelun paketin rinnalle ja määritetään `ssh`-palvelu käyttämään sitä.

Testattu puhtaalla Ubuntu 26.04.1 LTS -asennuksella: asennus, kirjautuminen `ssh-mldsa44-ed25519`-avaimella, uudelleenkäynnistys ja muutosten peruminen.

## Ennen aloittamista

- **Vastaat itse tämän käännöksen ylläpidosta.** `apt upgrade` ei toimita siihen tietoturvakorjauksia. Seuraa [OpenSSH:n julkaisutietoja](https://www.openssh.com/releasenotes.html) ja toista toimenpiteet uudemmalla julkaisulla tai peru muutokset.
- Pidä **toinen SSH-istunto avoinna** koko toimenpiteen ajan. Vielä parempi on varmistaa pääsy konsoliin (hypervisor, IPMI, pilvikonsoli).
- Kokeile ensin testikoneella.
- Tarvitset root-oikeudet, systemd:n, noin 1 GiB vapaata tilaa hakemistossa `/var/tmp` sekä internetyhteyden `apt`-paketinhallintaa ja OpenSSH:n lataamista varten.

## Mitä skripti tekee

1. Asentaa kääntämiseen tarvittavat riippuvuudet `apt`-paketinhallinnalla.
2. Lataa tiedoston `openssh-10.6p2.tar.gz`. Tarkistaa ennalta määritetyn SHA-256-tarkistussumman sekä OpenPGP-allekirjoituksen OpenSSH:n julkaisuavaimella `7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA`.
3. Kääntää ohjelman ja asentaa sen hakemistoon `/opt/openssh-10.6p2`. Asetuksesi hakemistossa `/etc/ssh` (palvelimen avaimet, `sshd_config`) sekä PAM-asetukset säilyvät ennallaan.
4. Tarkistaa nykyisen `sshd_config`-tiedoston uudella versiolla. Käynnistää sitten testipalvelimen osoitteeseen `127.0.0.1:2226` eikä vaihda mitään käyttöön, elleivät molemmat tarkistukset onnistu.
5. Lisää systemd:n täydentävän asetustiedoston `/etc/systemd/system/ssh.service.d/chj-openssh.conf` ja poistaa `ssh.socket`-yksikön käytöstä, koska alkuperäisen projektin sshd ei tue aktivointia soketin kautta. Käynnistää sitten `ssh.service`-palvelun uudelleen.
6. Tarkistaa, että käynnissä oleva prosessi on `/opt/openssh-10.6p2/sbin/sshd` ja että tunnisterivi on `SSH-2.0-OpenSSH_10.6`. Jos jompikumpi tarkistus epäonnistuu, peruu muutokset automaattisesti.

## Asennus

```bash
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install
```

Avaa sitten **uusi** SSH-yhteys. Sulje vanha istunto vasta, kun kirjautuminen uudella yhteydellä toimii.

## Tarkistus ja muutosten peruminen

```bash
sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd
```

Muutosten peruminen poistaa täydentävän asetustiedoston, ottaa `ssh.socket`-yksikön uudelleen käyttöön, jos se oli aiemmin käytössä, ja käynnistää jakelun `sshd`-palvelun uudelleen. Hakemistossa `/opt/openssh-10.6p2` oleva käännös säilyy levyllä, kunnes poistat sen. Muutosten perumisen jälkeen `ssh-mldsa44-ed25519`-avaimet eivät enää toimi kyseisellä palvelimella.

## Tämän jälkeen sovelluksessa CH-J Tools

Yhdistä palvelimeen uudelleen. Voit nyt lisätä **Users**-osiossa `ssh-mldsa44-ed25519`-avaimen Keychain-avainnipusta. Jos palvelin ilmoittaa edelleen vanhemman version, CH-J Tools näyttää viestin "OpenSSH 10.6 or newer is required" eikä lisää avainta.