# OpenSSH 10.6 postkvantiniams SSH raktams

CH-J Tools gali pridėti postkvantinį `ssh-mldsa44-ed25519` tipo raktą į serverį tik tada, kai jame veikia **OpenSSH 10.6 arba naujesnė versija**. OpenSSH 10.6 (2026 m. spalio 6 d.) yra pirmoji laida, palaikanti standartizuotą šio tipo rakto formatą. Ankstesnės laidos jį atmeta. Kai kurios iš jų, pavyzdžiui, 10.2p1 sistemoje Ubuntu 26.04, atpažįsta tik eksperimentinį `…@openssh.com` variantą, kurio CH-J Tools nenaudoja.

Rašant šį vadovą, Ubuntu ir Debian dar neteikia 10.6 per `apt`. Šiame vadove oficiali **OpenSSH 10.6p2** laida (2026 m. lapkričio 5 d.; ištaiso slaptažodžio autentifikavimo apėjimo pažeidžiamumą Linux versijose, sukompiliuotose be PAM) įdiegiama greta distribucijos paketo, o `ssh` tarnyba nukreipiama į ją.

Išbandyta naujai įdiegtoje Ubuntu 26.04.1 LTS sistemoje: diegimas, prisijungimas su `ssh-mldsa44-ed25519` raktu, paleidimas iš naujo ir ankstesnės būsenos atkūrimas.

## Prieš pradedant

- **Šią sukompiliuotą versiją turite prižiūrėti patys.** `apt upgrade` jai neteiks saugumo pataisų. Sekite [OpenSSH laidų pastabas](https://www.openssh.com/releasenotes.html) ir pakartokite procedūrą su naujesne laida arba atkurkite ankstesnę būseną.
- Visos procedūros metu laikykite **atvertą antrą SSH seansą**. Dar geriau turėti prieigą prie konsolės (hipervizoriaus, IPMI ar debesijos konsolės).
- Pirmiausia išbandykite bandomajame kompiuteryje.
- Reikia root teisių, systemd, maždaug 1 GiB laisvos vietos kataloge `/var/tmp` ir interneto prieigos, kad galėtumėte naudoti `apt` ir atsisiųsti OpenSSH.

## Ką daro scenarijus

1. Naudodamas `apt` įdiegia kompiliavimui reikalingas priklausomybes.
2. Atsisiunčia `openssh-10.6p2.tar.gz`. Patikrina iš anksto nustatytą SHA-256 kontrolinę sumą ir OpenPGP parašą, sukurtą OpenSSH laidų raktu `7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA`.
3. Sukompiliuoja ir įdiegia į `/opt/openssh-10.6p2`. Jūsų konfigūracija kataloge `/etc/ssh` (serverio raktai, `sshd_config`) ir PAM konfigūracija lieka nepakeistos.
4. Naująja versija patikrina dabartinį `sshd_config`. Tada paleidžia bandomąjį egzempliorių adresu `127.0.0.1:2226` ir tarnybą perjungia tik sėkmingai atlikęs abi patikras.
5. Prideda systemd papildomos konfigūracijos failą `/etc/systemd/system/ssh.service.d/chj-openssh.conf` ir išjungia `ssh.socket`, nes pirminio projekto sshd nepalaiko aktyvinimo per lizdą. Tada iš naujo paleidžia `ssh.service`.
6. Patikrina, ar veikiantis procesas yra `/opt/openssh-10.6p2/sbin/sshd`, o atpažinimo eilutė yra `SSH-2.0-OpenSSH_10.6`. Jei bent viena patikra nepavyksta, automatiškai atkuria ankstesnę būseną.

## Diegimas

```bash
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install
```

Tada užmegzkite **naują** SSH ryšį. Senąjį seansą uždarykite tik įsitikinę, kad naujas prisijungimas veikia.

## Patikra ir ankstesnės būsenos atkūrimas

```bash
sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd
```

Atkuriant ankstesnę būseną pašalinamas papildomos konfigūracijos failas, vėl įjungiamas `ssh.socket`, jei jis anksčiau buvo įjungtas, ir iš naujo paleidžiamas distribucijos `sshd`. Sukompiliuota versija kataloge `/opt/openssh-10.6p2` lieka diske, kol ją ištrinsite. Atkūrus ankstesnę būseną, `ssh-mldsa44-ed25519` raktai tame serveryje nebeveiks.

## Tolesni veiksmai CH-J Tools

Vėl prisijunkite prie serverio. Dabar skiltyje **Users** galite pridėti `ssh-mldsa44-ed25519` raktą iš Keychain. Jei serveris vis dar nurodo senesnę versiją, CH-J Tools rodo pranešimą „OpenSSH 10.6 or newer is required“ ir rakto neprideda.