# OpenSSH 10.6 pēckvantu SSH atslēgām

CH-J Tools var pievienot serverim pēckvantu tipa `ssh-mldsa44-ed25519` atslēgu tikai tad, ja serverī darbojas **OpenSSH 10.6 vai jaunāka versija**. OpenSSH 10.6 (2026. gada 6. oktobris) ir pirmais laidiens, kas atbalsta šī atslēgas tipa standartizēto formātu. Vecāki laidieni to noraida. Daži no tiem, piemēram, 10.2p1 sistēmā Ubuntu 26.04, atpazīst tikai eksperimentālo `…@openssh.com` variantu, ko CH-J Tools neizmanto.

Šīs rokasgrāmatas tapšanas laikā Ubuntu un Debian nepiedāvā 10.6 ar `apt` starpniecību. Šajā rokasgrāmatā oficiālais **OpenSSH 10.6p2** laidiens (2026. gada 5. novembris; novērš paroles autentifikācijas apiešanas ievainojamību Linux būvējumos bez PAM) tiek instalēts līdzās distribūcijas pakotnei, un `ssh` pakalpojums tiek konfigurēts tā izmantošanai.

Pārbaudīts svaigi instalētā Ubuntu 26.04.1 LTS sistēmā: instalēšana, pieteikšanās ar `ssh-mldsa44-ed25519` atslēgu, pārstartēšana un atgriešanās pie iepriekšējās versijas.

## Pirms sākat

- **Par šī būvējuma uzturēšanu atbildat jūs paši.** `apt upgrade` tam nepiegādās drošības labojumus. Sekojiet [OpenSSH laidienu piezīmēm](https://www.openssh.com/releasenotes.html) un atkārtojiet šo procedūru ar jaunāku laidienu vai atgriezieties pie iepriekšējās versijas.
- Visas procedūras laikā turiet **atvērtu otru SSH sesiju**. Vēl labāk, ja ir pieejama konsole (hipervizora, IPMI vai mākoņa konsole).
- Vispirms izmēģiniet to testa datorā.
- Nepieciešamas root tiesības, systemd, aptuveni 1 GiB brīvas vietas direktorijā `/var/tmp` un piekļuve internetam, lai izmantotu `apt` un lejupielādētu OpenSSH.

## Ko dara skripts

1. Instalē būvēšanai nepieciešamās atkarības, izmantojot `apt`.
2. Lejupielādē `openssh-10.6p2.tar.gz`. Pārbauda iepriekš fiksēto SHA-256 kontrolsummu un OpenPGP parakstu, kas izveidots ar OpenSSH laidienu atslēgu `7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA`.
3. Būvē un instalē direktorijā `/opt/openssh-10.6p2`. Jūsu konfigurācija direktorijā `/etc/ssh` (servera atslēgas, `sshd_config`) un PAM konfigurācija netiek mainīta.
4. Pārbauda pašreizējo `sshd_config` ar jauno versiju. Pēc tam palaiž testa instanci adresē `127.0.0.1:2226` un pārslēdz pakalpojumu tikai tad, ja abas pārbaudes ir sekmīgas.
5. Pievieno systemd papildu konfigurācijas failu `/etc/systemd/system/ssh.service.d/chj-openssh.conf` un atspējo `ssh.socket`, jo sākotnējā projekta sshd neatbalsta aktivizēšanu ar ligzdu. Pēc tam pārstartē `ssh.service`.
6. Pārbauda, vai darbojošais process ir `/opt/openssh-10.6p2/sbin/sshd` un vai identifikācijas virkne ir `SSH-2.0-OpenSSH_10.6`. Ja kāda no pārbaudēm neizdodas, automātiski atgriežas pie iepriekšējās versijas.

## Instalēšana

```bash
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install
```

Pēc tam izveidojiet **jaunu** SSH savienojumu. Veco sesiju aizveriet tikai tad, kad jaunā pieteikšanās darbojas.

## Pārbaude un atgriešanās pie iepriekšējās versijas

```bash
sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd
```

Atgriežoties pie iepriekšējās versijas, tiek noņemts papildu konfigurācijas fails, atkārtoti iespējots `ssh.socket`, ja tas iepriekš bija iespējots, un pārstartēts distribūcijas `sshd`. Būvējums direktorijā `/opt/openssh-10.6p2` paliek diskā, līdz to izdzēšat. Pēc atgriešanās pie iepriekšējās versijas `ssh-mldsa44-ed25519` atslēgas šajā serverī vairs nedarbosies.

## Turpmākās darbības CH-J Tools

Vēlreiz izveidojiet savienojumu ar serveri. Tagad sadaļā **Users** varat pievienot `ssh-mldsa44-ed25519` atslēgu no Keychain. Ja serveris joprojām ziņo par vecāku versiju, CH-J Tools parāda paziņojumu "OpenSSH 10.6 or newer is required" un atslēgu nepievieno.