पोस्ट-क्वांटम SSH कुंजियों के लिए OpenSSH 10.6

इस अनुवाद की भाषाई समीक्षा जारी है। कोई अंश अस्पष्ट हो, तो अंग्रेज़ी मूल पाठ से मिलाएँ।

CH-J Tools किसी सर्वर पर पोस्ट-क्वांटम कुंजी प्रकार ssh-mldsa44-ed25519 तभी जोड़ सकता है, जब उस सर्वर पर OpenSSH 10.6 या नया संस्करण चल रहा हो। OpenSSH 10.6 (6 अक्टूबर 2026) इस कुंजी प्रकार के मानकीकृत रूप वाला पहला रिलीज़ है। पुराने रिलीज़ इसे अस्वीकार करते हैं। उनमें से कुछ, जैसे Ubuntu 26.04 में 10.2p1, केवल प्रयोगात्मक …@openssh.com रूप को पहचानते हैं, जिसका CH-J Tools उपयोग नहीं करता।

यह गाइड लिखे जाने के समय, Ubuntu और Debian apt के ज़रिए 10.6 उपलब्ध नहीं कराते हैं। यह गाइड आधिकारिक OpenSSH 10.6p2 (5 नवंबर 2026, PAM के बिना बने Linux बिल्ड में पासवर्ड प्रमाणीकरण को बायपास करने की खामी ठीक करता है) को वितरण के पैकेज के साथ अलग से स्थापित करती है और ssh सेवा को इसका उपयोग करने के लिए कॉन्फ़िगर करती है।

Ubuntu 26.04.1 LTS की नई स्थापना पर परीक्षण किया गया: स्थापना, ssh-mldsa44-ed25519 कुंजी से लॉगिन, रीबूट और रोलबैक।

शुरू करने से पहले

इस बिल्ड का रखरखाव आपको स्वयं करना होगा। apt upgrade इसके लिए सुरक्षा सुधार उपलब्ध नहीं कराएगा। OpenSSH रिलीज़ नोट्स पर नज़र रखें और नए रिलीज़ के साथ प्रक्रिया दोहराएँ, या रोलबैक करें।
पूरी प्रक्रिया के दौरान दूसरा SSH सत्र खुला रखें। बेहतर होगा कि आपके पास कंसोल तक पहुँच भी हो (हाइपरवाइज़र, IPMI, क्लाउड कंसोल)।
पहले किसी परीक्षण मशीन पर इसे आज़माएँ।
आपको root अधिकार, systemd, /var/tmp में लगभग 1 GiB खाली जगह और apt तथा OpenSSH डाउनलोड के लिए इंटरनेट की आवश्यकता है।

स्क्रिप्ट क्या करती है

यह apt से बिल्ड के लिए आवश्यक निर्भरताएँ स्थापित करती है।
यह openssh-10.6p2.tar.gz डाउनलोड करती है। यह पहले से निर्धारित SHA-256 और OpenSSH रिलीज़ कुंजी 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA से बने OpenPGP हस्ताक्षर की जाँच करती है।
यह /opt/openssh-10.6p2 में बिल्ड स्थापित करती है। /etc/ssh में आपका कॉन्फ़िगरेशन (होस्ट कुंजियाँ, sshd_config) और PAM कॉन्फ़िगरेशन अपरिवर्तित रहते हैं।
यह नए संस्करण से मौजूदा sshd_config की जाँच करती है। फिर 127.0.0.1:2226 पर एक परीक्षण इंस्टेंस शुरू करती है और दोनों जाँच सफल होने पर ही नए संस्करण पर स्विच करती है।
यह systemd ड्रॉप-इन /etc/systemd/system/ssh.service.d/chj-openssh.conf जोड़ती है और ssh.socket को निष्क्रिय करती है, क्योंकि अपस्ट्रीम sshd में सॉकेट सक्रियण उपलब्ध नहीं है। फिर यह ssh.service को पुनः शुरू करती है।
यह जाँचती है कि चल रही प्रक्रिया /opt/openssh-10.6p2/sbin/sshd है और बैनर में SSH-2.0-OpenSSH_10.6 लिखा है। किसी भी जाँच के विफल होने पर यह अपने आप रोलबैक करती है।

स्थापना

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

फिर एक नया SSH कनेक्शन खोलें। नया लॉगिन काम करने के बाद ही पुराना सत्र बंद करें।

जाँच और रोलबैक

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

रोलबैक ड्रॉप-इन को हटाता है, यदि ssh.socket पहले सक्रिय था तो उसे फिर से सक्रिय करता है, और वितरण के sshd को पुनः शुरू करता है। /opt/openssh-10.6p2 में बिल्ड तब तक डिस्क पर रहता है जब तक आप उसे हटा नहीं देते। रोलबैक के बाद उस सर्वर पर ssh-mldsa44-ed25519 कुंजियाँ काम नहीं करेंगी।

इसके बाद CH-J Tools में

सर्वर से फिर से कनेक्ट करें। अब Users में आप Keychain से ssh-mldsa44-ed25519 कुंजी जोड़ सकते हैं। यदि सर्वर अभी भी पुराना संस्करण बताता है, तो CH-J Tools "OpenSSH 10.6 or newer is required" दिखाता है और कुंजी नहीं जोड़ता।