OpenSSH 10.6 para sa mga post-quantum SSH key

Makakapagdagdag lang ang CH-J Tools ng post-quantum na uri ng key na ssh-mldsa44-ed25519 sa isang server kung nagpapatakbo ang server na iyon ng OpenSSH 10.6 o mas bago. Ang OpenSSH 10.6 (6 Oktubre 2026) ang unang release na may pamantayang anyo ng ganitong uri ng key. Tinatanggihan ito ng mga mas lumang release. Ang ilan sa mga ito, gaya ng 10.2p1 sa Ubuntu 26.04, ay nakakakilala lamang ng eksperimental na baryanteng …@openssh.com na hindi ginagamit ng CH-J Tools.

Sa oras ng pagsulat, hindi pa nagbibigay ang Ubuntu at Debian ng 10.6 sa pamamagitan ng apt. Ini-install ng gabay na ito ang opisyal na OpenSSH 10.6p2 (5 Nobyembre 2026, nag-aayos ng kahinaang nagpapahintulot sa paglampas sa pagpapatunay gamit ang password sa mga Linux build na walang PAM) kasabay ng package ng distribusyon at itinuturo rito ang serbisyong ssh.

Nasubukan sa malinis na Ubuntu 26.04.1 LTS: pag-install, pag-login gamit ang key na ssh-mldsa44-ed25519, pag-reboot at pagbabalik sa dating bersyon.

Bago magsimula

• Ikaw mismo ang responsable sa pagpapanatili ng build na ito. Hindi maghahatid ng mga pag-aayos sa seguridad para rito ang apt upgrade. Subaybayan ang mga tala ng release ng OpenSSH at ulitin ang proseso gamit ang mas bagong release, o bumalik sa dating bersyon.
• Panatilihing bukas ang pangalawang SSH session sa buong proseso. Mas mainam kung mayroon kang access sa console (hypervisor, IPMI, cloud console).
• Subukan muna ito sa isang test machine.
• Kailangan mo ng root, systemd, humigit-kumulang 1 GiB na libreng espasyo sa /var/tmp at access sa internet para sa apt at pag-download ng OpenSSH.

Ano ang ginagawa ng script

1. Ini-install nito ang mga dependency sa pagbuo gamit ang apt.
2. Dina-download nito ang openssh-10.6p2.tar.gz. Sinusuri nito ang itinakdang SHA-256 at ang OpenPGP signature mula sa release key ng OpenSSH na 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA.
3. Binubuo nito ang software sa /opt/openssh-10.6p2. Hindi binabago ang iyong configuration sa /etc/ssh (mga host key, sshd_config) at ang configuration ng PAM.
4. Sinusuri nito ang kasalukuyang sshd_config gamit ang bagong bersyon. Pagkatapos, nagpapatakbo ito ng test instance sa 127.0.0.1:2226 at walang inililipat hangga't hindi pumapasa ang parehong pagsusuri.
5. Idinaragdag nito ang systemd drop-in na /etc/systemd/system/ssh.service.d/chj-openssh.conf at dini-disable ang ssh.socket, dahil walang socket activation ang upstream sshd. Pagkatapos, nire-restart nito ang ssh.service.
6. Sinusuri nito kung ang tumatakbong proseso ay /opt/openssh-10.6p2/sbin/sshd at kung ang banner ay SSH-2.0-OpenSSH_10.6. Kung mabigo ang alinman sa mga pagsusuri, kusa itong bumabalik sa dating bersyon.

Pag-install

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

Pagkatapos, magbukas ng bagong koneksyong SSH. Isara lamang ang lumang session kapag gumagana na ang bagong pag-login.

Pagsuri at pagbabalik sa dating bersyon

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

Inaalis ng pagbabalik sa dating bersyon ang drop-in, muling ine-enable ang ssh.socket kung naka-enable ito dati, at nire-restart ang sshd ng distribusyon. Mananatili sa disk ang build sa /opt/openssh-10.6p2 hanggang sa burahin mo ito. Pagkatapos bumalik sa dating bersyon, hindi na gagana sa server na iyon ang mga key na ssh-mldsa44-ed25519.

Pagkatapos, sa CH-J Tools

Kumonekta muli sa server. Sa Users, maaari ka nang magdagdag ng key na ssh-mldsa44-ed25519 mula sa Keychain. Kung mas lumang bersyon pa rin ang iniulat ng server, ipapakita ng CH-J Tools ang mensaheng "OpenSSH 10.6 or newer is required" at hindi nito idaragdag ang key.