# OpenSSH 10.6 untuk kunci SSH pascakuantum

CH-J Tools hanya dapat menambahkan jenis kunci pascakuantum `ssh-mldsa44-ed25519` ke server jika server tersebut menjalankan **OpenSSH 10.6 atau yang lebih baru**. OpenSSH 10.6 (6 Oktober 2026) adalah rilis pertama yang mendukung bentuk standar jenis kunci ini. Rilis yang lebih lama menolaknya. Beberapa di antaranya, seperti 10.2p1 di Ubuntu 26.04, hanya mengenali varian eksperimental `…@openssh.com` yang tidak digunakan oleh CH-J Tools.

Pada saat panduan ini ditulis, Ubuntu dan Debian belum menyediakan 10.6 melalui `apt`. Panduan ini memasang **OpenSSH 10.6p2** resmi (5 November 2026, memperbaiki celah yang memungkinkan autentikasi kata sandi dilewati pada build Linux tanpa PAM) berdampingan dengan paket distribusi dan mengarahkan layanan `ssh` untuk menggunakannya.

Diuji pada instalasi bersih Ubuntu 26.04.1 LTS: pemasangan, login dengan kunci `ssh-mldsa44-ed25519`, reboot, dan pengembalian ke versi sebelumnya.

## Sebelum memulai

- **Anda harus memelihara build ini sendiri.** `apt upgrade` tidak akan menyediakan perbaikan keamanan untuknya. Pantau [catatan rilis OpenSSH](https://www.openssh.com/releasenotes.html) dan ulangi prosedur dengan rilis yang lebih baru, atau kembalikan ke versi sebelumnya.
- Biarkan **sesi SSH kedua tetap terbuka** selama seluruh prosedur. Lebih baik lagi jika Anda memiliki akses konsol (hypervisor, IPMI, konsol cloud).
- Coba terlebih dahulu pada mesin uji.
- Anda memerlukan hak akses root, systemd, ruang kosong sekitar 1 GiB di `/var/tmp`, dan akses internet untuk `apt` serta pengunduhan OpenSSH.

## Yang dilakukan skrip

1. Memasang dependensi build dengan `apt`.
2. Mengunduh `openssh-10.6p2.tar.gz`. Memeriksa nilai SHA-256 yang telah ditetapkan dan tanda tangan OpenPGP dari kunci rilis OpenSSH `7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA`.
3. Membangun dan memasang ke `/opt/openssh-10.6p2`. Konfigurasi Anda di `/etc/ssh` (kunci host, `sshd_config`) dan konfigurasi PAM tetap tidak berubah.
4. Memeriksa `sshd_config` saat ini dengan versi baru. Kemudian menjalankan instans uji di `127.0.0.1:2226` dan tidak melakukan peralihan sebelum kedua pemeriksaan berhasil.
5. Menambahkan berkas konfigurasi tambahan systemd `/etc/systemd/system/ssh.service.d/chj-openssh.conf` dan menonaktifkan `ssh.socket`, karena sshd dari proyek upstream tidak mendukung aktivasi soket. Kemudian memulai ulang `ssh.service`.
6. Memeriksa bahwa proses yang berjalan adalah `/opt/openssh-10.6p2/sbin/sshd` dan banner menampilkan `SSH-2.0-OpenSSH_10.6`. Jika salah satu pemeriksaan gagal, skrip secara otomatis mengembalikan ke versi sebelumnya.

## Pemasangan

```bash
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install
```

Kemudian buka koneksi SSH **baru**. Tutup sesi lama hanya setelah login baru berhasil.

## Pemeriksaan dan pengembalian ke versi sebelumnya

```bash
sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd
```

Pengembalian ke versi sebelumnya menghapus berkas konfigurasi tambahan, mengaktifkan kembali `ssh.socket` jika sebelumnya aktif, dan memulai ulang `sshd` dari distribusi. Build di `/opt/openssh-10.6p2` tetap berada di disk sampai Anda menghapusnya. Setelah pengembalian, kunci `ssh-mldsa44-ed25519` tidak lagi berfungsi di server tersebut.

## Selanjutnya di CH-J Tools

Hubungkan kembali ke server. Di **Users**, kini Anda dapat menambahkan kunci `ssh-mldsa44-ed25519` dari Keychain. Jika server masih melaporkan versi yang lebih lama, CH-J Tools menampilkan "OpenSSH 10.6 or newer is required" dan tidak menambahkan kunci.