# OpenSSH 10.6 za postkvantne SSH ključeve

CH-J Tools može dodati postkvantni tip ključa `ssh-mldsa44-ed25519` na poslužitelj samo ako taj poslužitelj koristi **OpenSSH 10.6 ili noviji**. OpenSSH 10.6 (6. listopada 2026.) prvo je izdanje sa standardiziranim oblikom tog tipa ključa. Starija ga izdanja odbijaju. Neka od njih, poput 10.2p1 u Ubuntu 26.04, prepoznaju samo eksperimentalnu varijantu `…@openssh.com` koju CH-J Tools ne koristi.

U trenutku pisanja Ubuntu i Debian ne isporučuju 10.6 putem `apt`. Ovaj vodič instalira službeni **OpenSSH 10.6p2** (5. studenoga 2026., ispravlja mogućnost zaobilaženja autentifikacije lozinkom u kompilacijama za Linux bez PAM) uz paket distribucije i usmjerava uslugu `ssh` na njega.

Testirano na čistoj instalaciji Ubuntu 26.04.1 LTS: instalacija, prijava ključem `ssh-mldsa44-ed25519`, ponovno pokretanje i povratak na prethodnu verziju.

## Prije početka

- **Ovu kompiliranu verziju održavate sami.** `apt upgrade` za nju neće isporučivati sigurnosne ispravke. Pratite [bilješke o izdanjima OpenSSH](https://www.openssh.com/releasenotes.html) i ponovite postupak s novijim izdanjem ili se vratite na prethodnu verziju.
- Držite **drugu SSH sesiju otvorenom** tijekom cijelog postupka. Još je bolje imati pristup konzoli (hipervizor, IPMI, konzola u oblaku).
- Najprije isprobajte na testnom računalu.
- Potrebni su vam root ovlasti, systemd, oko 1 GiB slobodnog prostora u `/var/tmp` i pristup internetu za `apt` i preuzimanje OpenSSH.

## Što skripta radi

1. Instalira ovisnosti potrebne za izgradnju pomoću `apt`.
2. Preuzima `openssh-10.6p2.tar.gz`. Provjerava unaprijed zadani SHA-256 i OpenPGP potpis pomoću ključa za izdanja OpenSSH `7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA`.
3. Izgrađuje i instalira u `/opt/openssh-10.6p2`. Vaša konfiguracija u `/etc/ssh` (ključevi poslužitelja, `sshd_config`) i konfiguracija PAM ostaju nepromijenjene.
4. Provjerava trenutačni `sshd_config` novom verzijom. Zatim pokreće testnu instancu na `127.0.0.1:2226` i ništa ne prebacuje dok obje provjere ne prođu.
5. Dodaje systemd datoteku s dopunskim postavkama `/etc/systemd/system/ssh.service.d/chj-openssh.conf` i onemogućuje `ssh.socket`, jer izvorni sshd ne podržava aktivaciju putem utičnice. Zatim ponovno pokreće `ssh.service`.
6. Provjerava je li pokrenuti proces `/opt/openssh-10.6p2/sbin/sshd` i prikazuje li se natpis `SSH-2.0-OpenSSH_10.6`. Ako bilo koja provjera ne uspije, automatski se vraća na prethodnu verziju.

## Instalacija

```bash
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install
```

Zatim otvorite **novu** SSH vezu. Staru sesiju zatvorite tek nakon što nova prijava proradi.

## Provjera i povratak na prethodnu verziju

```bash
sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd
```

Povratak na prethodnu verziju uklanja datoteku s dopunskim postavkama, ponovno omogućuje `ssh.socket` ako je prethodno bio omogućen i ponovno pokreće distribucijski `sshd`. Kompilirana verzija u `/opt/openssh-10.6p2` ostaje na disku dok je ne izbrišete. Nakon povratka na prethodnu verziju ključevi `ssh-mldsa44-ed25519` više ne rade na tom poslužitelju.

## Zatim u CH-J Tools

Ponovno se povežite s poslužiteljem. U odjeljku **Users** sada možete dodati ključ `ssh-mldsa44-ed25519` iz Keychain. Ako poslužitelj i dalje prijavljuje stariju verziju, CH-J Tools prikazuje poruku "OpenSSH 10.6 or newer is required" i ne dodaje ključ.