OpenSSH 10.6 voor postkwantum-SSH-sleutels

Deze vertaling wordt taalkundig herzien. Vergelijk onduidelijke passages met het Engelse origineel.

CH-J Tools kan het postkwantumsleuteltype ssh-mldsa44-ed25519 alleen aan een server toevoegen als die server OpenSSH 10.6 of nieuwer draait. OpenSSH 10.6 (6 oktober 2026) is de eerste release die de gestandaardiseerde vorm van dit sleuteltype ondersteunt. Oudere releases weigeren deze. Sommige daarvan, zoals 10.2p1 in Ubuntu 26.04, herkennen alleen een experimentele …@openssh.com-variant die CH-J Tools niet gebruikt.

Op het moment van schrijven leveren Ubuntu en Debian 10.6 niet via apt. Deze handleiding installeert de officiële OpenSSH 10.6p2 (5 november 2026, verhelpt een kwetsbaarheid waarmee wachtwoordauthenticatie kan worden omzeild in Linux-builds zonder PAM) naast het distributiepakket en stelt de ssh-service in om deze versie te gebruiken.

Getest op een schone installatie van Ubuntu 26.04.1 LTS: installatie, aanmelden met een ssh-mldsa44-ed25519-sleutel, herstarten en terugdraaien.

Voordat u begint

U onderhoudt deze build zelf. apt upgrade levert hiervoor geen beveiligingsupdates. Volg de OpenSSH-releaseopmerkingen en herhaal de procedure met een nieuwere release, of draai de wijziging terug.
Houd gedurende de hele procedure een tweede SSH-sessie open. Zorg bij voorkeur ook voor consoletoegang (hypervisor, IPMI, cloudconsole).
Probeer het eerst op een testmachine.
U hebt rootrechten, systemd, ongeveer 1 GiB vrije ruimte in /var/tmp en internettoegang voor apt en het downloaden van OpenSSH nodig.

Wat het script doet

Het installeert de bouwafhankelijkheden met apt.
Het downloadt openssh-10.6p2.tar.gz. Het controleert de vooraf vastgelegde SHA-256-hash en de OpenPGP-handtekening van de OpenSSH-releasesleutel 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA.
Het bouwt en installeert in /opt/openssh-10.6p2. Uw configuratie in /etc/ssh (hostsleutels, sshd_config) en de PAM-configuratie blijven ongewijzigd.
Het controleert het huidige sshd_config met de nieuwe versie. Daarna start het een testinstantie op 127.0.0.1:2226 en schakelt het pas over als beide controles slagen.
Het voegt het systemd-drop-inbestand /etc/systemd/system/ssh.service.d/chj-openssh.conf toe en schakelt ssh.socket uit, omdat de upstreamversie van sshd geen socketactivatie ondersteunt. Daarna herstart het ssh.service.
Het controleert of het actieve proces /opt/openssh-10.6p2/sbin/sshd is en of de banner SSH-2.0-OpenSSH_10.6 weergeeft. Als een van beide controles mislukt, draait het de wijziging automatisch terug.

Installeren

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

Open daarna een nieuwe SSH-verbinding. Sluit de oude sessie pas nadat het aanmelden via de nieuwe verbinding werkt.

Controleren en terugdraaien

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

Bij het terugdraaien wordt het drop-inbestand verwijderd, wordt ssh.socket weer ingeschakeld als het eerder ingeschakeld was en wordt de sshd van de distributie herstart. De build in /opt/openssh-10.6p2 blijft op schijf staan totdat u deze verwijdert. Na het terugdraaien werken ssh-mldsa44-ed25519-sleutels niet meer op die server.

Vervolgens in CH-J Tools

Maak opnieuw verbinding met de server. In Users kunt u nu een ssh-mldsa44-ed25519-sleutel uit de Keychain toevoegen. Als de server nog steeds een oudere versie meldt, toont CH-J Tools de melding "OpenSSH 10.6 or newer is required" en wordt de sleutel niet toegevoegd.