# OpenSSH 10.6 untuk kunci SSH pascakuantum

CH-J Tools hanya boleh menambahkan kunci jenis pascakuantum `ssh-mldsa44-ed25519` pada pelayan jika pelayan itu menjalankan **OpenSSH 10.6 atau lebih baharu**. OpenSSH 10.6 (6 Oktober 2026) ialah keluaran pertama yang menyokong bentuk piawai bagi jenis kunci ini. Keluaran terdahulu menolaknya. Sesetengah keluaran tersebut, seperti 10.2p1 dalam Ubuntu 26.04, hanya mengenali varian percubaan `…@openssh.com` yang tidak digunakan oleh CH-J Tools.

Pada masa panduan ini ditulis, Ubuntu dan Debian tidak menyediakan 10.6 melalui `apt`. Panduan ini memasang keluaran rasmi **OpenSSH 10.6p2** (5 November 2026, membetulkan kerentanan pintasan pengesahan kata laluan pada binaan Linux tanpa PAM) bersebelahan dengan pakej pengedaran dan menetapkan perkhidmatan `ssh` supaya menggunakannya.

Diuji pada pemasangan bersih Ubuntu 26.04.1 LTS: pemasangan, log masuk dengan kunci `ssh-mldsa44-ed25519`, but semula dan pengembalian kepada keadaan sebelumnya.

## Sebelum anda bermula

- **Anda perlu menyelenggara binaan ini sendiri.** `apt upgrade` tidak akan membekalkan pembaikan keselamatan untuknya. Pantau [nota keluaran OpenSSH](https://www.openssh.com/releasenotes.html) dan ulangi prosedur ini dengan keluaran yang lebih baharu, atau kembali kepada keadaan sebelumnya.
- Pastikan **sesi SSH kedua kekal terbuka** sepanjang prosedur ini. Lebih baik lagi jika anda mempunyai akses konsol (hipervisor, IPMI, konsol awan).
- Cuba pada mesin ujian terlebih dahulu.
- Anda memerlukan akses root, systemd, ruang kosong kira-kira 1 GiB dalam `/var/tmp` dan akses internet untuk `apt` serta muat turun OpenSSH.

## Tindakan yang dilakukan oleh skrip

1. Memasang kebergantungan binaan dengan `apt`.
2. Memuat turun `openssh-10.6p2.tar.gz`. Menyemak nilai SHA-256 yang telah ditetapkan dan tandatangan OpenPGP daripada kunci keluaran OpenSSH `7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA`.
3. Membina dan memasang ke dalam `/opt/openssh-10.6p2`. Konfigurasi anda dalam `/etc/ssh` (kunci hos, `sshd_config`) dan konfigurasi PAM kekal tidak berubah.
4. Menyemak `sshd_config` semasa menggunakan versi baharu. Kemudian, memulakan tika ujian pada `127.0.0.1:2226` dan hanya beralih kepada versi baharu jika kedua-dua semakan lulus.
5. Menambahkan fail konfigurasi tambahan systemd `/etc/systemd/system/ssh.service.d/chj-openssh.conf` dan menyahdayakan `ssh.socket`, kerana sshd huluan tidak menyokong pengaktifan soket. Kemudian, memulakan semula `ssh.service`.
6. Menyemak bahawa proses yang sedang berjalan ialah `/opt/openssh-10.6p2/sbin/sshd` dan bahawa sepanduk memaparkan `SSH-2.0-OpenSSH_10.6`. Jika salah satu semakan gagal, skrip kembali kepada keadaan sebelumnya secara automatik.

## Pasang

```bash
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install
```

Kemudian, buka sambungan SSH **baharu**. Tutup sesi lama hanya selepas log masuk baharu berjaya.

## Semak dan kembali kepada keadaan sebelumnya

```bash
sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd
```

Pengembalian kepada keadaan sebelumnya membuang fail konfigurasi tambahan, mendayakan semula `ssh.socket` jika ia didayakan sebelum ini, dan memulakan semula `sshd` pengedaran. Binaan dalam `/opt/openssh-10.6p2` kekal pada cakera sehingga anda memadamkannya. Selepas pengembalian tersebut, kunci `ssh-mldsa44-ed25519` tidak lagi berfungsi pada pelayan itu.

## Seterusnya dalam CH-J Tools

Sambung semula ke pelayan. Dalam **Users**, anda kini boleh menambahkan kunci `ssh-mldsa44-ed25519` daripada Keychain. Jika pelayan masih melaporkan versi yang lebih lama, CH-J Tools memaparkan "OpenSSH 10.6 or newer is required" dan tidak menambahkan kunci tersebut.