CH-J Tools는 서버에서 OpenSSH 10.6 이상을 실행하는 경우에만 해당 서버에 포스트 양자 키 유형 ssh-mldsa44-ed25519를 추가할 수 있습니다. OpenSSH 10.6(2026년 10월 6일)은 이 키 유형의 표준화된 형식을 지원하는 첫 번째 릴리스입니다. 이전 릴리스에서는 이 형식을 거부합니다. Ubuntu 26.04의 10.2p1과 같은 일부 이전 릴리스는 CH-J Tools에서 사용하지 않는 실험적 …@openssh.com 변형만 인식합니다.
이 문서를 작성하는 시점에는 Ubuntu와 Debian이 apt를 통해 10.6을 제공하지 않습니다. 이 가이드에서는 공식 OpenSSH 10.6p2(2026년 11월 5일 릴리스, PAM 없이 빌드한 Linux 버전의 암호 인증 우회 취약점 수정)를 배포판 패키지와 함께 설치하고 ssh 서비스가 이를 사용하도록 설정합니다.
새로 설치한 Ubuntu 26.04.1 LTS에서 설치, ssh-mldsa44-ed25519 키를 사용한 로그인, 재부팅 및 롤백을 테스트했습니다.
시작하기 전에
- 이 빌드는 직접 유지 관리해야 합니다.
apt upgrade로는 이 빌드의 보안 수정 사항이 적용되지 않습니다. OpenSSH 릴리스 노트를 확인하고 최신 릴리스로 이 절차를 다시 수행하거나 롤백하세요. - 전체 절차를 진행하는 동안 두 번째 SSH 세션을 열어 두세요. 콘솔 접근 수단(하이퍼바이저, IPMI, 클라우드 콘솔)도 확보해 두는 것이 좋습니다.
- 먼저 테스트 머신에서 시도하세요.
- root 권한, systemd,
/var/tmp의 약 1 GiB 여유 공간,apt사용 및 OpenSSH 다운로드를 위한 인터넷 연결이 필요합니다.
스크립트가 수행하는 작업
apt로 빌드 의존성을 설치합니다.openssh-10.6p2.tar.gz를 다운로드합니다. 사전에 고정된 SHA-256 해시와 OpenSSH 릴리스 키7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA로 생성된 OpenPGP 서명을 검증합니다./opt/openssh-10.6p2에 빌드하여 설치합니다./etc/ssh의 설정(호스트 키,sshd_config)과 PAM 설정은 변경되지 않습니다.- 새 버전으로 현재
sshd_config를 검사합니다. 이어서127.0.0.1:2226에서 테스트 인스턴스를 시작하며, 두 검사에 모두 통과한 경우에만 서비스를 전환합니다. - systemd 드롭인 파일
/etc/systemd/system/ssh.service.d/chj-openssh.conf를 추가하고ssh.socket을 비활성화합니다. 업스트림 sshd가 소켓 활성화를 지원하지 않기 때문입니다. 그런 다음ssh.service를 다시 시작합니다. - 실행 중인 프로세스가
/opt/openssh-10.6p2/sbin/sshd이고 배너가SSH-2.0-OpenSSH_10.6인지 확인합니다. 둘 중 하나라도 확인에 실패하면 자동으로 롤백합니다.
설치
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01 chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh # read it before running it as root
sudo bash chj-openssh-10.6.sh install
그런 다음 새 SSH 연결을 여세요. 새 연결에서 로그인이 정상적으로 이루어지는 것을 확인한 후에만 기존 세션을 닫으세요.
확인 및 롤백
sudo bash chj-openssh-10.6.sh status # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback # back to the distribution sshd
롤백하면 드롭인 파일을 제거하고, ssh.socket이 이전에 활성화되어 있었다면 다시 활성화한 뒤 배포판의 sshd를 다시 시작합니다. /opt/openssh-10.6p2의 빌드는 직접 삭제할 때까지 디스크에 남아 있습니다. 롤백 후에는 해당 서버에서 ssh-mldsa44-ed25519 키를 더 이상 사용할 수 없습니다.
이후 CH-J Tools에서 할 일
서버에 다시 연결하세요. 이제 Users에서 Keychain의 ssh-mldsa44-ed25519 키를 추가할 수 있습니다. 서버가 여전히 이전 버전을 보고하면 CH-J Tools는 "OpenSSH 10.6 or newer is required"라는 메시지를 표시하고 키를 추가하지 않습니다.