OpenSSH 10.6 pre postkvantové kľúče SSH

Jazyková revízia tohto prekladu prebieha. Pri nejasnostiach porovnajte anglický originál.

CH-J Tools dokáže na server pridať postkvantový typ kľúča ssh-mldsa44-ed25519 iba vtedy, ak na serveri beží OpenSSH 10.6 alebo novší. OpenSSH 10.6 (6. októbra 2026) je prvé vydanie so štandardizovanou podobou tohto typu kľúča. Staršie vydania ho odmietajú. Niektoré z nich, napríklad 10.2p1 v Ubuntu 26.04, poznajú iba experimentálny variant …@openssh.com, ktorý CH-J Tools nepoužíva.

V čase písania Ubuntu ani Debian neposkytujú 10.6 cez apt. Tento návod nainštaluje oficiálny OpenSSH 10.6p2 (5. novembra 2026, opravuje obídenie autentifikácie heslom v zostaveniach pre Linux bez PAM) popri balíku distribúcie a nasmeruje naň službu ssh.

Otestované na čistej inštalácii Ubuntu 26.04.1 LTS: inštalácia, prihlásenie pomocou kľúča ssh-mldsa44-ed25519, reštart a návrat k pôvodnej verzii.

Pred začiatkom

Toto zostavenie si spravujete sami. apt upgrade preň nebude poskytovať bezpečnostné opravy. Sledujte poznámky k vydaniam OpenSSH a zopakujte postup s novším vydaním alebo sa vráťte k pôvodnej verzii.
Počas celého postupu nechajte otvorenú druhú reláciu SSH. Ešte lepšie je mať prístup ku konzole (hypervízor, IPMI, cloudová konzola).
Najprv postup vyskúšajte na testovacom stroji.
Potrebujete oprávnenia root, systemd, približne 1 GiB voľného miesta v /var/tmp a prístup na internet pre apt a stiahnutie OpenSSH.

Čo skript robí

Nainštaluje závislosti na zostavenie pomocou apt.
Stiahne openssh-10.6p2.tar.gz. Overí pevne stanovený kontrolný súčet SHA-256 a podpis OpenPGP vytvorený kľúčom vydaní OpenSSH 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA.
Zostaví a nainštaluje do /opt/openssh-10.6p2. Vaša konfigurácia v /etc/ssh (kľúče hostiteľa, sshd_config) a konfigurácia PAM zostanú nezmenené.
Overí aktuálny sshd_config pomocou novej verzie. Potom spustí testovaciu inštanciu na 127.0.0.1:2226 a nič neprepne, kým obe kontroly neuspejú.
Pridá doplnkový konfiguračný súbor systemd /etc/systemd/system/ssh.service.d/chj-openssh.conf a zakáže ssh.socket, pretože pôvodný sshd nepodporuje aktiváciu cez socket. Potom reštartuje ssh.service.
Overí, že spustený proces je /opt/openssh-10.6p2/sbin/sshd a že identifikačný reťazec znie SSH-2.0-OpenSSH_10.6. Ak niektorá kontrola zlyhá, automaticky obnoví pôvodný stav.

Inštalácia

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

Potom otvorte nové pripojenie SSH. Starú reláciu zatvorte až po úspešnom prihlásení cez nové pripojenie.

Kontrola a návrat k pôvodnej verzii

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

Návrat k pôvodnej verzii odstráni doplnkový konfiguračný súbor, znova povolí ssh.socket, ak bol predtým povolený, a reštartuje distribučný sshd. Zostavenie v /opt/openssh-10.6p2 zostane na disku, kým ho neodstránite. Po návrate k pôvodnej verzii prestanú kľúče ssh-mldsa44-ed25519 na tomto serveri fungovať.

Potom v CH-J Tools

Znova sa pripojte k serveru. V časti Users teraz môžete pridať kľúč ssh-mldsa44-ed25519 z Keychain. Ak server stále hlási staršiu verziu, CH-J Tools zobrazí hlásenie "OpenSSH 10.6 or newer is required" a kľúč nepridá.