# OpenSSH 10.6 għal ċwievet SSH postkwantistiċi

CH-J Tools jista’ jżid ċavetta tat-tip postkwantistiku `ssh-mldsa44-ed25519` ma’ server biss meta dak is-server ikun qed iħaddem **OpenSSH 10.6 jew verżjoni aktar ġdida**. OpenSSH 10.6 (6 ta’ Ottubru 2026) huwa l-ewwel rilaxx li jappoġġja l-forma standardizzata ta’ dan it-tip ta’ ċavetta. Rilaxxi eqdem jirrifjutawha. Xi wħud minnhom, bħal 10.2p1 f’Ubuntu 26.04, jagħrfu biss varjant sperimentali `…@openssh.com` li CH-J Tools ma jużax.

Fiż-żmien meta nkiteb dan id-dokument, Ubuntu u Debian ma jipprovdux 10.6 permezz ta’ `apt`. Din il-gwida tinstalla r-rilaxx uffiċjali **OpenSSH 10.6p2** (5 ta’ Novembru 2026, li jirranġa vulnerabbiltà li tippermetti li tinqabeż l-awtentikazzjoni bil-password f’binjiet Linux mingħajr PAM) flimkien mal-pakkett tad-distribuzzjoni u tikkonfigura s-servizz `ssh` biex jużah.

Ittestjat fuq installazzjoni nadifa ta’ Ubuntu 26.04.1 LTS: installazzjoni, dħul b’ċavetta `ssh-mldsa44-ed25519`, startjar mill-ġdid u ritorn għall-istat preċedenti.

## Qabel tibda

- **Int responsabbli mill-manutenzjoni ta’ din il-binja.** `apt upgrade` mhux se jipprovdilha aġġornamenti tas-sigurtà. Segwi n-[noti tar-rilaxx ta’ OpenSSH](https://www.openssh.com/releasenotes.html) u rrepeti l-proċedura b’rilaxx aktar ġdid, jew erġa’ lura għall-istat preċedenti.
- Żomm **it-tieni sessjoni SSH miftuħa** matul il-proċedura kollha. Aħjar ukoll jekk ikollok aċċess għal console (hypervisor, IPMI, console tal-cloud).
- L-ewwel ipprovaha fuq magna tat-test.
- Għandek bżonn privileġġi root, systemd, madwar 1 GiB ta’ spazju ħieles f’`/var/tmp` u aċċess għall-internet għal `apt` u għat-tniżżil ta’ OpenSSH.

## X’jagħmel l-iskript

1. Jinstalla d-dipendenzi meħtieġa għall-kompilazzjoni b’`apt`.
2. Iniżżel `openssh-10.6p2.tar.gz`. Jivverifika l-valur SHA-256 stabbilit minn qabel u l-firma OpenPGP maħluqa biċ-ċavetta tar-rilaxx ta’ OpenSSH `7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA`.
3. Jikkompila u jinstalla f’`/opt/openssh-10.6p2`. Il-konfigurazzjoni tiegħek f’`/etc/ssh` (ċwievet tal-host, `sshd_config`) u l-konfigurazzjoni PAM jibqgħu l-istess.
4. Jivverifika l-`sshd_config` attwali bil-verżjoni l-ġdida. Imbagħad iniedi istanza tat-test fuq `127.0.0.1:2226` u jaqleb is-servizz biss jekk iż-żewġ verifiki jgħaddu.
5. Iżid il-fajl ta’ konfigurazzjoni supplimentari ta’ systemd `/etc/systemd/system/ssh.service.d/chj-openssh.conf` u jiddiżattiva `ssh.socket`, għax l-sshd tal-proġett oriġinali ma jappoġġjax l-attivazzjoni permezz ta’ socket. Imbagħad jerġa’ jibda `ssh.service`.
6. Jivverifika li l-proċess li qed jaħdem huwa `/opt/openssh-10.6p2/sbin/sshd` u li l-banner juri `SSH-2.0-OpenSSH_10.6`. Jekk xi waħda mill-verifiki tfalli, jerġa’ lura għall-istat preċedenti awtomatikament.

## Installazzjoni

```bash
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install
```

Imbagħad iftaħ konnessjoni SSH **ġdida**. Agħlaq is-sessjoni l-qadima biss wara li d-dħul il-ġdid jaħdem.

## Verifika u ritorn għall-istat preċedenti

```bash
sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd
```

Ir-ritorn għall-istat preċedenti jneħħi l-fajl ta’ konfigurazzjoni supplimentari, jerġa’ jattiva `ssh.socket` jekk kien attiv qabel, u jerġa’ jibda l-`sshd` tad-distribuzzjoni. Il-binja f’`/opt/openssh-10.6p2` tibqa’ fuq id-diska sakemm tħassarha. Wara li terġa’ lura għall-istat preċedenti, iċ-ċwievet `ssh-mldsa44-ed25519` ma jibqgħux jaħdmu fuq dak is-server.

## Imbagħad f’CH-J Tools

Erġa’ qabbad mas-server. Issa tista’ żżid ċavetta `ssh-mldsa44-ed25519` minn Keychain fit-taqsima **Users**. Jekk is-server għadu jirrapporta verżjoni eqdem, CH-J Tools juri "OpenSSH 10.6 or newer is required" u ma jżidx iċ-ċavetta.