# OpenSSH 10.6 pentru chei SSH post-cuantice

CH-J Tools poate adăuga pe un server o cheie de tip post-cuantic `ssh-mldsa44-ed25519` numai dacă serverul rulează **OpenSSH 10.6 sau o versiune mai nouă**. OpenSSH 10.6 (6 octombrie 2026) este prima versiune care acceptă forma standardizată a acestui tip de cheie. Versiunile mai vechi o resping. Unele dintre ele, precum 10.2p1 din Ubuntu 26.04, recunosc doar o variantă experimentală `…@openssh.com`, pe care CH-J Tools nu o utilizează.

La momentul redactării, Ubuntu și Debian nu furnizează versiunea 10.6 prin `apt`. Acest ghid instalează versiunea oficială **OpenSSH 10.6p2** (5 noiembrie 2026, remediază o vulnerabilitate care permite ocolirea autentificării prin parolă în compilările pentru Linux fără PAM) alături de pachetul distribuției și configurează serviciul `ssh` să o utilizeze.

Testat pe o instalare curată de Ubuntu 26.04.1 LTS: instalare, autentificare cu o cheie `ssh-mldsa44-ed25519`, repornire și revenire la starea anterioară.

## Înainte de a începe

- **Întreținerea acestei compilări vă revine dumneavoastră.** `apt upgrade` nu va furniza remedieri de securitate pentru ea. Urmăriți [notele de lansare OpenSSH](https://www.openssh.com/releasenotes.html) și repetați procedura cu o versiune mai nouă sau reveniți la starea anterioară.
- Păstrați **o a doua sesiune SSH deschisă** pe toată durata procedurii. Este preferabil să aveți și acces la consolă (hipervizor, IPMI, consolă cloud).
- Încercați mai întâi pe o mașină de test.
- Aveți nevoie de privilegii root, systemd, aproximativ 1 GiB de spațiu liber în `/var/tmp` și acces la internet pentru `apt` și descărcarea OpenSSH.

## Ce face scriptul

1. Instalează dependențele necesare compilării folosind `apt`.
2. Descarcă `openssh-10.6p2.tar.gz`. Verifică suma SHA-256 fixată în prealabil și semnătura OpenPGP realizată cu cheia de lansare OpenSSH `7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA`.
3. Compilează și instalează în `/opt/openssh-10.6p2`. Configurația din `/etc/ssh` (cheile gazdei, `sshd_config`) și configurația PAM rămân neschimbate.
4. Verifică fișierul `sshd_config` curent cu noua versiune. Apoi pornește o instanță de test pe `127.0.0.1:2226` și face trecerea numai dacă ambele verificări reușesc.
5. Adaugă fișierul de configurare suplimentară systemd `/etc/systemd/system/ssh.service.d/chj-openssh.conf` și dezactivează `ssh.socket`, deoarece sshd din proiectul original nu acceptă activarea prin socket. Apoi repornește `ssh.service`.
6. Verifică dacă procesul care rulează este `/opt/openssh-10.6p2/sbin/sshd` și dacă mesajul de identificare este `SSH-2.0-OpenSSH_10.6`. Dacă oricare dintre verificări eșuează, revine automat la starea anterioară.

## Instalare

```bash
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install
```

Apoi deschideți o conexiune SSH **nouă**. Închideți sesiunea veche numai după ce autentificarea prin noua conexiune funcționează.

## Verificare și revenire la starea anterioară

```bash
sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd
```

Revenirea la starea anterioară elimină fișierul de configurare suplimentară, reactivează `ssh.socket` dacă era activat înainte și repornește `sshd` din distribuție. Compilarea din `/opt/openssh-10.6p2` rămâne pe disc până când o ștergeți. După revenire, cheile `ssh-mldsa44-ed25519` nu mai funcționează pe acel server.

## Apoi, în CH-J Tools

Conectați-vă din nou la server. În **Users**, puteți acum adăuga o cheie `ssh-mldsa44-ed25519` din Keychain. Dacă serverul raportează în continuare o versiune mai veche, CH-J Tools afișează mesajul "OpenSSH 10.6 or newer is required" și nu adaugă cheia.