OpenSSH 10.6 postkvantiniams SSH raktams

Šio vertimo kalbinė peržiūra dar vyksta. Jei tekstas neaiškus, palyginkite su anglišku originalu.

CH-J Tools gali pridėti postkvantinį ssh-mldsa44-ed25519 tipo raktą į serverį tik tada, kai jame veikia OpenSSH 10.6 arba naujesnė versija. OpenSSH 10.6 (2026 m. spalio 6 d.) yra pirmoji laida, palaikanti standartizuotą šio tipo rakto formatą. Ankstesnės laidos jį atmeta. Kai kurios iš jų, pavyzdžiui, 10.2p1 sistemoje Ubuntu 26.04, atpažįsta tik eksperimentinį …@openssh.com variantą, kurio CH-J Tools nenaudoja.

Rašant šį vadovą, Ubuntu ir Debian dar neteikia 10.6 per apt. Šiame vadove oficiali OpenSSH 10.6p2 laida (2026 m. lapkričio 5 d.; ištaiso slaptažodžio autentifikavimo apėjimo pažeidžiamumą Linux versijose, sukompiliuotose be PAM) įdiegiama greta distribucijos paketo, o ssh tarnyba nukreipiama į ją.

Išbandyta naujai įdiegtoje Ubuntu 26.04.1 LTS sistemoje: diegimas, prisijungimas su ssh-mldsa44-ed25519 raktu, paleidimas iš naujo ir ankstesnės būsenos atkūrimas.

Prieš pradedant

Šią sukompiliuotą versiją turite prižiūrėti patys. apt upgrade jai neteiks saugumo pataisų. Sekite OpenSSH laidų pastabas ir pakartokite procedūrą su naujesne laida arba atkurkite ankstesnę būseną.
Visos procedūros metu laikykite atvertą antrą SSH seansą. Dar geriau turėti prieigą prie konsolės (hipervizoriaus, IPMI ar debesijos konsolės).
Pirmiausia išbandykite bandomajame kompiuteryje.
Reikia root teisių, systemd, maždaug 1 GiB laisvos vietos kataloge /var/tmp ir interneto prieigos, kad galėtumėte naudoti apt ir atsisiųsti OpenSSH.

Ką daro scenarijus

Naudodamas apt įdiegia kompiliavimui reikalingas priklausomybes.
Atsisiunčia openssh-10.6p2.tar.gz. Patikrina iš anksto nustatytą SHA-256 kontrolinę sumą ir OpenPGP parašą, sukurtą OpenSSH laidų raktu 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA.
Sukompiliuoja ir įdiegia į /opt/openssh-10.6p2. Jūsų konfigūracija kataloge /etc/ssh (serverio raktai, sshd_config) ir PAM konfigūracija lieka nepakeistos.
Naująja versija patikrina dabartinį sshd_config. Tada paleidžia bandomąjį egzempliorių adresu 127.0.0.1:2226 ir tarnybą perjungia tik sėkmingai atlikęs abi patikras.
Prideda systemd papildomos konfigūracijos failą /etc/systemd/system/ssh.service.d/chj-openssh.conf ir išjungia ssh.socket, nes pirminio projekto sshd nepalaiko aktyvinimo per lizdą. Tada iš naujo paleidžia ssh.service.
Patikrina, ar veikiantis procesas yra /opt/openssh-10.6p2/sbin/sshd, o atpažinimo eilutė yra SSH-2.0-OpenSSH_10.6. Jei bent viena patikra nepavyksta, automatiškai atkuria ankstesnę būseną.

Diegimas

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

Tada užmegzkite naują SSH ryšį. Senąjį seansą uždarykite tik įsitikinę, kad naujas prisijungimas veikia.

Patikra ir ankstesnės būsenos atkūrimas

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

Atkuriant ankstesnę būseną pašalinamas papildomos konfigūracijos failas, vėl įjungiamas ssh.socket, jei jis anksčiau buvo įjungtas, ir iš naujo paleidžiamas distribucijos sshd. Sukompiliuota versija kataloge /opt/openssh-10.6p2 lieka diske, kol ją ištrinsite. Atkūrus ankstesnę būseną, ssh-mldsa44-ed25519 raktai tame serveryje nebeveiks.

Tolesni veiksmai CH-J Tools

Vėl prisijunkite prie serverio. Dabar skiltyje Users galite pridėti ssh-mldsa44-ed25519 raktą iš Keychain. Jei serveris vis dar nurodo senesnę versiją, CH-J Tools rodo pranešimą „OpenSSH 10.6 or newer is required“ ir rakto neprideda.