OpenSSH 10.6 pentru chei SSH post-cuantice

Revizuirea lingvistică a acestei traduceri este în curs. Pentru pasaje neclare, consultați originalul în engleză.

CH-J Tools poate adăuga pe un server o cheie de tip post-cuantic ssh-mldsa44-ed25519 numai dacă serverul rulează OpenSSH 10.6 sau o versiune mai nouă. OpenSSH 10.6 (6 octombrie 2026) este prima versiune care acceptă forma standardizată a acestui tip de cheie. Versiunile mai vechi o resping. Unele dintre ele, precum 10.2p1 din Ubuntu 26.04, recunosc doar o variantă experimentală …@openssh.com, pe care CH-J Tools nu o utilizează.

La momentul redactării, Ubuntu și Debian nu furnizează versiunea 10.6 prin apt. Acest ghid instalează versiunea oficială OpenSSH 10.6p2 (5 noiembrie 2026, remediază o vulnerabilitate care permite ocolirea autentificării prin parolă în compilările pentru Linux fără PAM) alături de pachetul distribuției și configurează serviciul ssh să o utilizeze.

Testat pe o instalare curată de Ubuntu 26.04.1 LTS: instalare, autentificare cu o cheie ssh-mldsa44-ed25519, repornire și revenire la starea anterioară.

Înainte de a începe

Întreținerea acestei compilări vă revine dumneavoastră. apt upgrade nu va furniza remedieri de securitate pentru ea. Urmăriți notele de lansare OpenSSH și repetați procedura cu o versiune mai nouă sau reveniți la starea anterioară.
Păstrați o a doua sesiune SSH deschisă pe toată durata procedurii. Este preferabil să aveți și acces la consolă (hipervizor, IPMI, consolă cloud).
Încercați mai întâi pe o mașină de test.
Aveți nevoie de privilegii root, systemd, aproximativ 1 GiB de spațiu liber în /var/tmp și acces la internet pentru apt și descărcarea OpenSSH.

Ce face scriptul

Instalează dependențele necesare compilării folosind apt.
Descarcă openssh-10.6p2.tar.gz. Verifică suma SHA-256 fixată în prealabil și semnătura OpenPGP realizată cu cheia de lansare OpenSSH 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA.
Compilează și instalează în /opt/openssh-10.6p2. Configurația din /etc/ssh (cheile gazdei, sshd_config) și configurația PAM rămân neschimbate.
Verifică fișierul sshd_config curent cu noua versiune. Apoi pornește o instanță de test pe 127.0.0.1:2226 și face trecerea numai dacă ambele verificări reușesc.
Adaugă fișierul de configurare suplimentară systemd /etc/systemd/system/ssh.service.d/chj-openssh.conf și dezactivează ssh.socket, deoarece sshd din proiectul original nu acceptă activarea prin socket. Apoi repornește ssh.service.
Verifică dacă procesul care rulează este /opt/openssh-10.6p2/sbin/sshd și dacă mesajul de identificare este SSH-2.0-OpenSSH_10.6. Dacă oricare dintre verificări eșuează, revine automat la starea anterioară.

Instalare

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

Apoi deschideți o conexiune SSH nouă. Închideți sesiunea veche numai după ce autentificarea prin noua conexiune funcționează.

Verificare și revenire la starea anterioară

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

Revenirea la starea anterioară elimină fișierul de configurare suplimentară, reactivează ssh.socket dacă era activat înainte și repornește sshd din distribuție. Compilarea din /opt/openssh-10.6p2 rămâne pe disc până când o ștergeți. După revenire, cheile ssh-mldsa44-ed25519 nu mai funcționează pe acel server.

Apoi, în CH-J Tools

Conectați-vă din nou la server. În Users, puteți acum adăuga o cheie ssh-mldsa44-ed25519 din Keychain. Dacă serverul raportează în continuare o versiune mai veche, CH-J Tools afișează mesajul "OpenSSH 10.6 or newer is required" și nu adaugă cheia.