# OpenSSH 10.6 voor postkwantum-SSH-sleutels

CH-J Tools kan het postkwantumsleuteltype `ssh-mldsa44-ed25519` alleen aan een server toevoegen als die server **OpenSSH 10.6 of nieuwer** draait. OpenSSH 10.6 (6 oktober 2026) is de eerste release die de gestandaardiseerde vorm van dit sleuteltype ondersteunt. Oudere releases weigeren deze. Sommige daarvan, zoals 10.2p1 in Ubuntu 26.04, herkennen alleen een experimentele `…@openssh.com`-variant die CH-J Tools niet gebruikt.

Op het moment van schrijven leveren Ubuntu en Debian 10.6 niet via `apt`. Deze handleiding installeert de officiële **OpenSSH 10.6p2** (5 november 2026, verhelpt een kwetsbaarheid waarmee wachtwoordauthenticatie kan worden omzeild in Linux-builds zonder PAM) naast het distributiepakket en stelt de `ssh`-service in om deze versie te gebruiken.

Getest op een schone installatie van Ubuntu 26.04.1 LTS: installatie, aanmelden met een `ssh-mldsa44-ed25519`-sleutel, herstarten en terugdraaien.

## Voordat u begint

- **U onderhoudt deze build zelf.** `apt upgrade` levert hiervoor geen beveiligingsupdates. Volg de [OpenSSH-releaseopmerkingen](https://www.openssh.com/releasenotes.html) en herhaal de procedure met een nieuwere release, of draai de wijziging terug.
- Houd gedurende de hele procedure **een tweede SSH-sessie open**. Zorg bij voorkeur ook voor consoletoegang (hypervisor, IPMI, cloudconsole).
- Probeer het eerst op een testmachine.
- U hebt rootrechten, systemd, ongeveer 1 GiB vrije ruimte in `/var/tmp` en internettoegang voor `apt` en het downloaden van OpenSSH nodig.

## Wat het script doet

1. Het installeert de bouwafhankelijkheden met `apt`.
2. Het downloadt `openssh-10.6p2.tar.gz`. Het controleert de vooraf vastgelegde SHA-256-hash en de OpenPGP-handtekening van de OpenSSH-releasesleutel `7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA`.
3. Het bouwt en installeert in `/opt/openssh-10.6p2`. Uw configuratie in `/etc/ssh` (hostsleutels, `sshd_config`) en de PAM-configuratie blijven ongewijzigd.
4. Het controleert het huidige `sshd_config` met de nieuwe versie. Daarna start het een testinstantie op `127.0.0.1:2226` en schakelt het pas over als beide controles slagen.
5. Het voegt het systemd-drop-inbestand `/etc/systemd/system/ssh.service.d/chj-openssh.conf` toe en schakelt `ssh.socket` uit, omdat de upstreamversie van sshd geen socketactivatie ondersteunt. Daarna herstart het `ssh.service`.
6. Het controleert of het actieve proces `/opt/openssh-10.6p2/sbin/sshd` is en of de banner `SSH-2.0-OpenSSH_10.6` weergeeft. Als een van beide controles mislukt, draait het de wijziging automatisch terug.

## Installeren

```bash
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install
```

Open daarna een **nieuwe** SSH-verbinding. Sluit de oude sessie pas nadat het aanmelden via de nieuwe verbinding werkt.

## Controleren en terugdraaien

```bash
sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd
```

Bij het terugdraaien wordt het drop-inbestand verwijderd, wordt `ssh.socket` weer ingeschakeld als het eerder ingeschakeld was en wordt de `sshd` van de distributie herstart. De build in `/opt/openssh-10.6p2` blijft op schijf staan totdat u deze verwijdert. Na het terugdraaien werken `ssh-mldsa44-ed25519`-sleutels niet meer op die server.

## Vervolgens in CH-J Tools

Maak opnieuw verbinding met de server. In **Users** kunt u nu een `ssh-mldsa44-ed25519`-sleutel uit de Keychain toevoegen. Als de server nog steeds een oudere versie meldt, toont CH-J Tools de melding "OpenSSH 10.6 or newer is required" en wordt de sleutel niet toegevoegd.