# OpenSSH 10.6 posztkvantum SSH-kulcsokhoz

A CH-J Tools csak akkor tud `ssh-mldsa44-ed25519` típusú posztkvantum kulcsot hozzáadni egy kiszolgálóhoz, ha azon **OpenSSH 10.6 vagy újabb** fut. Az OpenSSH 10.6 (2026. október 6.) az első kiadás, amely támogatja ennek a kulcstípusnak a szabványosított formáját. A régebbi kiadások elutasítják. Egyesek, például az Ubuntu 26.04-ben található 10.2p1, csak egy kísérleti `…@openssh.com` változatot ismernek, amelyet a CH-J Tools nem használ.

Az útmutató írásakor az Ubuntu és a Debian nem biztosítja a 10.6-os verziót az `apt` segítségével. Ez az útmutató a hivatalos **OpenSSH 10.6p2** verziót (2026. november 5., javítja a jelszavas hitelesítés megkerülését a PAM nélkül fordított Linux-verziókban) telepíti a disztribúció csomagja mellé, és erre állítja át az `ssh` szolgáltatást.

Tiszta Ubuntu 26.04.1 LTS telepítésen tesztelve: telepítés, bejelentkezés `ssh-mldsa44-ed25519` kulccsal, újraindítás és visszaállítás.

## Mielőtt elkezdené

- **Ennek a fordított változatnak a karbantartása az Ön feladata.** Az `apt upgrade` nem biztosít hozzá biztonsági javításokat. Kövesse az [OpenSSH kiadási megjegyzéseit](https://www.openssh.com/releasenotes.html), és ismételje meg az eljárást egy újabb kiadással, vagy álljon vissza a korábbi verzióra.
- Tartson **nyitva egy második SSH-munkamenetet** a teljes eljárás alatt. Még jobb, ha konzolhozzáférése is van (hipervizor, IPMI, felhőkonzol).
- Először tesztgépen próbálja ki.
- Root jogosultság, systemd, körülbelül 1 GiB szabad hely a `/var/tmp` könyvtárban, valamint internet-hozzáférés szükséges az `apt` használatához és az OpenSSH letöltéséhez.

## Mit csinál a szkript

1. Telepíti a fordításhoz szükséges függőségeket az `apt` segítségével.
2. Letölti az `openssh-10.6p2.tar.gz` fájlt. Ellenőrzi az előre rögzített SHA-256 értéket és az OpenSSH `7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA` kiadási kulcsával készült OpenPGP-aláírást.
3. Lefordítja és telepíti a programot az `/opt/openssh-10.6p2` könyvtárba. Az `/etc/ssh` alatti konfiguráció (gépkulcsok, `sshd_config`) és a PAM konfigurációja változatlan marad.
4. Ellenőrzi a jelenlegi `sshd_config` fájlt az új verzióval. Ezután elindít egy tesztpéldányt a `127.0.0.1:2226` címen, és csak akkor vált át az új verzióra, ha mindkét ellenőrzés sikeres.
5. Hozzáadja az `/etc/systemd/system/ssh.service.d/chj-openssh.conf` systemd kiegészítő konfigurációs fájlt, és letiltja az `ssh.socket` egységet, mert az eredeti projekt sshd-je nem támogatja a socketaktiválást. Ezután újraindítja az `ssh.service` szolgáltatást.
6. Ellenőrzi, hogy a futó folyamat az `/opt/openssh-10.6p2/sbin/sshd`, és hogy az üdvözlő szöveg `SSH-2.0-OpenSSH_10.6`. Ha bármelyik ellenőrzés sikertelen, automatikusan visszaáll a korábbi verzióra.

## Telepítés

```bash
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install
```

Ezután nyisson **új** SSH-kapcsolatot. A régi munkamenetet csak akkor zárja be, ha az új bejelentkezés már működik.

## Ellenőrzés és visszaállítás

```bash
sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd
```

A visszaállítás eltávolítja a kiegészítő konfigurációs fájlt, újra engedélyezi az `ssh.socket` egységet, ha az korábban engedélyezve volt, és újraindítja a disztribúció `sshd` szolgáltatását. Az `/opt/openssh-10.6p2` alatti fordított változat a lemezen marad, amíg nem törli. Visszaállítás után az `ssh-mldsa44-ed25519` kulcsok már nem működnek ezen a kiszolgálón.

## Ezután a CH-J Tools alkalmazásban

Csatlakozzon újra a kiszolgálóhoz. A **Users** alatt most már hozzáadhat egy `ssh-mldsa44-ed25519` kulcsot a Keychain gyűjteményből. Ha a kiszolgáló továbbra is régebbi verziót jelez, a CH-J Tools az "OpenSSH 10.6 or newer is required" üzenetet jeleníti meg, és nem adja hozzá a kulcsot.