OpenSSH 10.6 untuk kunci SSH pascakuantum

CH-J Tools hanya boleh menambahkan kunci jenis pascakuantum ssh-mldsa44-ed25519 pada pelayan jika pelayan itu menjalankan OpenSSH 10.6 atau lebih baharu. OpenSSH 10.6 (6 Oktober 2026) ialah keluaran pertama yang menyokong bentuk piawai bagi jenis kunci ini. Keluaran terdahulu menolaknya. Sesetengah keluaran tersebut, seperti 10.2p1 dalam Ubuntu 26.04, hanya mengenali varian percubaan …@openssh.com yang tidak digunakan oleh CH-J Tools.

Pada masa panduan ini ditulis, Ubuntu dan Debian tidak menyediakan 10.6 melalui apt. Panduan ini memasang keluaran rasmi OpenSSH 10.6p2 (5 November 2026, membetulkan kerentanan pintasan pengesahan kata laluan pada binaan Linux tanpa PAM) bersebelahan dengan pakej pengedaran dan menetapkan perkhidmatan ssh supaya menggunakannya.

Diuji pada pemasangan bersih Ubuntu 26.04.1 LTS: pemasangan, log masuk dengan kunci ssh-mldsa44-ed25519, but semula dan pengembalian kepada keadaan sebelumnya.

Sebelum anda bermula

• Anda perlu menyelenggara binaan ini sendiri. apt upgrade tidak akan membekalkan pembaikan keselamatan untuknya. Pantau nota keluaran OpenSSH dan ulangi prosedur ini dengan keluaran yang lebih baharu, atau kembali kepada keadaan sebelumnya.
• Pastikan sesi SSH kedua kekal terbuka sepanjang prosedur ini. Lebih baik lagi jika anda mempunyai akses konsol (hipervisor, IPMI, konsol awan).
• Cuba pada mesin ujian terlebih dahulu.
• Anda memerlukan akses root, systemd, ruang kosong kira-kira 1 GiB dalam /var/tmp dan akses internet untuk apt serta muat turun OpenSSH.

Tindakan yang dilakukan oleh skrip

1. Memasang kebergantungan binaan dengan apt.
2. Memuat turun openssh-10.6p2.tar.gz. Menyemak nilai SHA-256 yang telah ditetapkan dan tandatangan OpenPGP daripada kunci keluaran OpenSSH 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA.
3. Membina dan memasang ke dalam /opt/openssh-10.6p2. Konfigurasi anda dalam /etc/ssh (kunci hos, sshd_config) dan konfigurasi PAM kekal tidak berubah.
4. Menyemak sshd_config semasa menggunakan versi baharu. Kemudian, memulakan tika ujian pada 127.0.0.1:2226 dan hanya beralih kepada versi baharu jika kedua-dua semakan lulus.
5. Menambahkan fail konfigurasi tambahan systemd /etc/systemd/system/ssh.service.d/chj-openssh.conf dan menyahdayakan ssh.socket, kerana sshd huluan tidak menyokong pengaktifan soket. Kemudian, memulakan semula ssh.service.
6. Menyemak bahawa proses yang sedang berjalan ialah /opt/openssh-10.6p2/sbin/sshd dan bahawa sepanduk memaparkan SSH-2.0-OpenSSH_10.6. Jika salah satu semakan gagal, skrip kembali kepada keadaan sebelumnya secara automatik.

Pasang

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

Kemudian, buka sambungan SSH baharu. Tutup sesi lama hanya selepas log masuk baharu berjaya.

Semak dan kembali kepada keadaan sebelumnya

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

Pengembalian kepada keadaan sebelumnya membuang fail konfigurasi tambahan, mendayakan semula ssh.socket jika ia didayakan sebelum ini, dan memulakan semula sshd pengedaran. Binaan dalam /opt/openssh-10.6p2 kekal pada cakera sehingga anda memadamkannya. Selepas pengembalian tersebut, kunci ssh-mldsa44-ed25519 tidak lagi berfungsi pada pelayan itu.

Seterusnya dalam CH-J Tools

Sambung semula ke pelayan. Dalam Users, anda kini boleh menambahkan kunci ssh-mldsa44-ed25519 daripada Keychain. Jika pelayan masih melaporkan versi yang lebih lama, CH-J Tools memaparkan "OpenSSH 10.6 or newer is required" dan tidak menambahkan kunci tersebut.