OpenSSH 10.6 posztkvantum SSH-kulcsokhoz

A fordítás nyelvi ellenőrzése folyamatban van. Ha egy rész nem egyértelmű, tekintse meg az angol eredetit.

A CH-J Tools csak akkor tud ssh-mldsa44-ed25519 típusú posztkvantum kulcsot hozzáadni egy kiszolgálóhoz, ha azon OpenSSH 10.6 vagy újabb fut. Az OpenSSH 10.6 (2026. október 6.) az első kiadás, amely támogatja ennek a kulcstípusnak a szabványosított formáját. A régebbi kiadások elutasítják. Egyesek, például az Ubuntu 26.04-ben található 10.2p1, csak egy kísérleti …@openssh.com változatot ismernek, amelyet a CH-J Tools nem használ.

Az útmutató írásakor az Ubuntu és a Debian nem biztosítja a 10.6-os verziót az apt segítségével. Ez az útmutató a hivatalos OpenSSH 10.6p2 verziót (2026. november 5., javítja a jelszavas hitelesítés megkerülését a PAM nélkül fordított Linux-verziókban) telepíti a disztribúció csomagja mellé, és erre állítja át az ssh szolgáltatást.

Tiszta Ubuntu 26.04.1 LTS telepítésen tesztelve: telepítés, bejelentkezés ssh-mldsa44-ed25519 kulccsal, újraindítás és visszaállítás.

Mielőtt elkezdené

Ennek a fordított változatnak a karbantartása az Ön feladata. Az apt upgrade nem biztosít hozzá biztonsági javításokat. Kövesse az OpenSSH kiadási megjegyzéseit, és ismételje meg az eljárást egy újabb kiadással, vagy álljon vissza a korábbi verzióra.
Tartson nyitva egy második SSH-munkamenetet a teljes eljárás alatt. Még jobb, ha konzolhozzáférése is van (hipervizor, IPMI, felhőkonzol).
Először tesztgépen próbálja ki.
Root jogosultság, systemd, körülbelül 1 GiB szabad hely a /var/tmp könyvtárban, valamint internet-hozzáférés szükséges az apt használatához és az OpenSSH letöltéséhez.

Mit csinál a szkript

Telepíti a fordításhoz szükséges függőségeket az apt segítségével.
Letölti az openssh-10.6p2.tar.gz fájlt. Ellenőrzi az előre rögzített SHA-256 értéket és az OpenSSH 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA kiadási kulcsával készült OpenPGP-aláírást.
Lefordítja és telepíti a programot az /opt/openssh-10.6p2 könyvtárba. Az /etc/ssh alatti konfiguráció (gépkulcsok, sshd_config) és a PAM konfigurációja változatlan marad.
Ellenőrzi a jelenlegi sshd_config fájlt az új verzióval. Ezután elindít egy tesztpéldányt a 127.0.0.1:2226 címen, és csak akkor vált át az új verzióra, ha mindkét ellenőrzés sikeres.
Hozzáadja az /etc/systemd/system/ssh.service.d/chj-openssh.conf systemd kiegészítő konfigurációs fájlt, és letiltja az ssh.socket egységet, mert az eredeti projekt sshd-je nem támogatja a socketaktiválást. Ezután újraindítja az ssh.service szolgáltatást.
Ellenőrzi, hogy a futó folyamat az /opt/openssh-10.6p2/sbin/sshd, és hogy az üdvözlő szöveg SSH-2.0-OpenSSH_10.6. Ha bármelyik ellenőrzés sikertelen, automatikusan visszaáll a korábbi verzióra.

Telepítés

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

Ezután nyisson új SSH-kapcsolatot. A régi munkamenetet csak akkor zárja be, ha az új bejelentkezés már működik.

Ellenőrzés és visszaállítás

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

A visszaállítás eltávolítja a kiegészítő konfigurációs fájlt, újra engedélyezi az ssh.socket egységet, ha az korábban engedélyezve volt, és újraindítja a disztribúció sshd szolgáltatását. Az /opt/openssh-10.6p2 alatti fordított változat a lemezen marad, amíg nem törli. Visszaállítás után az ssh-mldsa44-ed25519 kulcsok már nem működnek ezen a kiszolgálón.

Ezután a CH-J Tools alkalmazásban

Csatlakozzon újra a kiszolgálóhoz. A Users alatt most már hozzáadhat egy ssh-mldsa44-ed25519 kulcsot a Keychain gyűjteményből. Ha a kiszolgáló továbbra is régebbi verziót jelez, a CH-J Tools az "OpenSSH 10.6 or newer is required" üzenetet jeleníti meg, és nem adja hozzá a kulcsot.