OpenSSH 10.6 untuk kunci SSH pascakuantum

Terjemahan ini sedang ditinjau secara kebahasaan. Jika ada bagian yang kurang jelas, bandingkan dengan teks asli bahasa Inggris.

CH-J Tools hanya dapat menambahkan jenis kunci pascakuantum ssh-mldsa44-ed25519 ke server jika server tersebut menjalankan OpenSSH 10.6 atau yang lebih baru. OpenSSH 10.6 (6 Oktober 2026) adalah rilis pertama yang mendukung bentuk standar jenis kunci ini. Rilis yang lebih lama menolaknya. Beberapa di antaranya, seperti 10.2p1 di Ubuntu 26.04, hanya mengenali varian eksperimental …@openssh.com yang tidak digunakan oleh CH-J Tools.

Pada saat panduan ini ditulis, Ubuntu dan Debian belum menyediakan 10.6 melalui apt. Panduan ini memasang OpenSSH 10.6p2 resmi (5 November 2026, memperbaiki celah yang memungkinkan autentikasi kata sandi dilewati pada build Linux tanpa PAM) berdampingan dengan paket distribusi dan mengarahkan layanan ssh untuk menggunakannya.

Diuji pada instalasi bersih Ubuntu 26.04.1 LTS: pemasangan, login dengan kunci ssh-mldsa44-ed25519, reboot, dan pengembalian ke versi sebelumnya.

Sebelum memulai

Anda harus memelihara build ini sendiri. apt upgrade tidak akan menyediakan perbaikan keamanan untuknya. Pantau catatan rilis OpenSSH dan ulangi prosedur dengan rilis yang lebih baru, atau kembalikan ke versi sebelumnya.
Biarkan sesi SSH kedua tetap terbuka selama seluruh prosedur. Lebih baik lagi jika Anda memiliki akses konsol (hypervisor, IPMI, konsol cloud).
Coba terlebih dahulu pada mesin uji.
Anda memerlukan hak akses root, systemd, ruang kosong sekitar 1 GiB di /var/tmp, dan akses internet untuk apt serta pengunduhan OpenSSH.

Yang dilakukan skrip

Memasang dependensi build dengan apt.
Mengunduh openssh-10.6p2.tar.gz. Memeriksa nilai SHA-256 yang telah ditetapkan dan tanda tangan OpenPGP dari kunci rilis OpenSSH 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA.
Membangun dan memasang ke /opt/openssh-10.6p2. Konfigurasi Anda di /etc/ssh (kunci host, sshd_config) dan konfigurasi PAM tetap tidak berubah.
Memeriksa sshd_config saat ini dengan versi baru. Kemudian menjalankan instans uji di 127.0.0.1:2226 dan tidak melakukan peralihan sebelum kedua pemeriksaan berhasil.
Menambahkan berkas konfigurasi tambahan systemd /etc/systemd/system/ssh.service.d/chj-openssh.conf dan menonaktifkan ssh.socket, karena sshd dari proyek upstream tidak mendukung aktivasi soket. Kemudian memulai ulang ssh.service.
Memeriksa bahwa proses yang berjalan adalah /opt/openssh-10.6p2/sbin/sshd dan banner menampilkan SSH-2.0-OpenSSH_10.6. Jika salah satu pemeriksaan gagal, skrip secara otomatis mengembalikan ke versi sebelumnya.

Pemasangan

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

Kemudian buka koneksi SSH baru. Tutup sesi lama hanya setelah login baru berhasil.

Pemeriksaan dan pengembalian ke versi sebelumnya

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

Pengembalian ke versi sebelumnya menghapus berkas konfigurasi tambahan, mengaktifkan kembali ssh.socket jika sebelumnya aktif, dan memulai ulang sshd dari distribusi. Build di /opt/openssh-10.6p2 tetap berada di disk sampai Anda menghapusnya. Setelah pengembalian, kunci ssh-mldsa44-ed25519 tidak lagi berfungsi di server tersebut.

Selanjutnya di CH-J Tools

Hubungkan kembali ke server. Di Users, kini Anda dapat menambahkan kunci ssh-mldsa44-ed25519 dari Keychain. Jika server masih melaporkan versi yang lebih lama, CH-J Tools menampilkan "OpenSSH 10.6 or newer is required" dan tidak menambahkan kunci.