OpenSSH 10.6 pēckvantu SSH atslēgām

Šī tulkojuma valodas pārskatīšana vēl turpinās. Neskaidrību gadījumā salīdziniet ar oriģinālu angļu valodā.

CH-J Tools var pievienot serverim pēckvantu tipa ssh-mldsa44-ed25519 atslēgu tikai tad, ja serverī darbojas OpenSSH 10.6 vai jaunāka versija. OpenSSH 10.6 (2026. gada 6. oktobris) ir pirmais laidiens, kas atbalsta šī atslēgas tipa standartizēto formātu. Vecāki laidieni to noraida. Daži no tiem, piemēram, 10.2p1 sistēmā Ubuntu 26.04, atpazīst tikai eksperimentālo …@openssh.com variantu, ko CH-J Tools neizmanto.

Šīs rokasgrāmatas tapšanas laikā Ubuntu un Debian nepiedāvā 10.6 ar apt starpniecību. Šajā rokasgrāmatā oficiālais OpenSSH 10.6p2 laidiens (2026. gada 5. novembris; novērš paroles autentifikācijas apiešanas ievainojamību Linux būvējumos bez PAM) tiek instalēts līdzās distribūcijas pakotnei, un ssh pakalpojums tiek konfigurēts tā izmantošanai.

Pārbaudīts svaigi instalētā Ubuntu 26.04.1 LTS sistēmā: instalēšana, pieteikšanās ar ssh-mldsa44-ed25519 atslēgu, pārstartēšana un atgriešanās pie iepriekšējās versijas.

Pirms sākat

Par šī būvējuma uzturēšanu atbildat jūs paši. apt upgrade tam nepiegādās drošības labojumus. Sekojiet OpenSSH laidienu piezīmēm un atkārtojiet šo procedūru ar jaunāku laidienu vai atgriezieties pie iepriekšējās versijas.
Visas procedūras laikā turiet atvērtu otru SSH sesiju. Vēl labāk, ja ir pieejama konsole (hipervizora, IPMI vai mākoņa konsole).
Vispirms izmēģiniet to testa datorā.
Nepieciešamas root tiesības, systemd, aptuveni 1 GiB brīvas vietas direktorijā /var/tmp un piekļuve internetam, lai izmantotu apt un lejupielādētu OpenSSH.

Ko dara skripts

Instalē būvēšanai nepieciešamās atkarības, izmantojot apt.
Lejupielādē openssh-10.6p2.tar.gz. Pārbauda iepriekš fiksēto SHA-256 kontrolsummu un OpenPGP parakstu, kas izveidots ar OpenSSH laidienu atslēgu 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA.
Būvē un instalē direktorijā /opt/openssh-10.6p2. Jūsu konfigurācija direktorijā /etc/ssh (servera atslēgas, sshd_config) un PAM konfigurācija netiek mainīta.
Pārbauda pašreizējo sshd_config ar jauno versiju. Pēc tam palaiž testa instanci adresē 127.0.0.1:2226 un pārslēdz pakalpojumu tikai tad, ja abas pārbaudes ir sekmīgas.
Pievieno systemd papildu konfigurācijas failu /etc/systemd/system/ssh.service.d/chj-openssh.conf un atspējo ssh.socket, jo sākotnējā projekta sshd neatbalsta aktivizēšanu ar ligzdu. Pēc tam pārstartē ssh.service.
Pārbauda, vai darbojošais process ir /opt/openssh-10.6p2/sbin/sshd un vai identifikācijas virkne ir SSH-2.0-OpenSSH_10.6. Ja kāda no pārbaudēm neizdodas, automātiski atgriežas pie iepriekšējās versijas.

Instalēšana

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

Pēc tam izveidojiet jaunu SSH savienojumu. Veco sesiju aizveriet tikai tad, kad jaunā pieteikšanās darbojas.

Pārbaude un atgriešanās pie iepriekšējās versijas

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

Atgriežoties pie iepriekšējās versijas, tiek noņemts papildu konfigurācijas fails, atkārtoti iespējots ssh.socket, ja tas iepriekš bija iespējots, un pārstartēts distribūcijas sshd. Būvējums direktorijā /opt/openssh-10.6p2 paliek diskā, līdz to izdzēšat. Pēc atgriešanās pie iepriekšējās versijas ssh-mldsa44-ed25519 atslēgas šajā serverī vairs nedarbosies.

Turpmākās darbības CH-J Tools

Vēlreiz izveidojiet savienojumu ar serveri. Tagad sadaļā Users varat pievienot ssh-mldsa44-ed25519 atslēgu no Keychain. Ja serveris joprojām ziņo par vecāku versiju, CH-J Tools parāda paziņojumu "OpenSSH 10.6 or newer is required" un atslēgu nepievieno.