# OpenSSH 10.6 pre postkvantové kľúče SSH

CH-J Tools dokáže na server pridať postkvantový typ kľúča `ssh-mldsa44-ed25519` iba vtedy, ak na serveri beží **OpenSSH 10.6 alebo novší**. OpenSSH 10.6 (6. októbra 2026) je prvé vydanie so štandardizovanou podobou tohto typu kľúča. Staršie vydania ho odmietajú. Niektoré z nich, napríklad 10.2p1 v Ubuntu 26.04, poznajú iba experimentálny variant `…@openssh.com`, ktorý CH-J Tools nepoužíva.

V čase písania Ubuntu ani Debian neposkytujú 10.6 cez `apt`. Tento návod nainštaluje oficiálny **OpenSSH 10.6p2** (5. novembra 2026, opravuje obídenie autentifikácie heslom v zostaveniach pre Linux bez PAM) popri balíku distribúcie a nasmeruje naň službu `ssh`.

Otestované na čistej inštalácii Ubuntu 26.04.1 LTS: inštalácia, prihlásenie pomocou kľúča `ssh-mldsa44-ed25519`, reštart a návrat k pôvodnej verzii.

## Pred začiatkom

- **Toto zostavenie si spravujete sami.** `apt upgrade` preň nebude poskytovať bezpečnostné opravy. Sledujte [poznámky k vydaniam OpenSSH](https://www.openssh.com/releasenotes.html) a zopakujte postup s novším vydaním alebo sa vráťte k pôvodnej verzii.
- Počas celého postupu nechajte **otvorenú druhú reláciu SSH**. Ešte lepšie je mať prístup ku konzole (hypervízor, IPMI, cloudová konzola).
- Najprv postup vyskúšajte na testovacom stroji.
- Potrebujete oprávnenia root, systemd, približne 1 GiB voľného miesta v `/var/tmp` a prístup na internet pre `apt` a stiahnutie OpenSSH.

## Čo skript robí

1. Nainštaluje závislosti na zostavenie pomocou `apt`.
2. Stiahne `openssh-10.6p2.tar.gz`. Overí pevne stanovený kontrolný súčet SHA-256 a podpis OpenPGP vytvorený kľúčom vydaní OpenSSH `7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA`.
3. Zostaví a nainštaluje do `/opt/openssh-10.6p2`. Vaša konfigurácia v `/etc/ssh` (kľúče hostiteľa, `sshd_config`) a konfigurácia PAM zostanú nezmenené.
4. Overí aktuálny `sshd_config` pomocou novej verzie. Potom spustí testovaciu inštanciu na `127.0.0.1:2226` a nič neprepne, kým obe kontroly neuspejú.
5. Pridá doplnkový konfiguračný súbor systemd `/etc/systemd/system/ssh.service.d/chj-openssh.conf` a zakáže `ssh.socket`, pretože pôvodný sshd nepodporuje aktiváciu cez socket. Potom reštartuje `ssh.service`.
6. Overí, že spustený proces je `/opt/openssh-10.6p2/sbin/sshd` a že identifikačný reťazec znie `SSH-2.0-OpenSSH_10.6`. Ak niektorá kontrola zlyhá, automaticky obnoví pôvodný stav.

## Inštalácia

```bash
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install
```

Potom otvorte **nové** pripojenie SSH. Starú reláciu zatvorte až po úspešnom prihlásení cez nové pripojenie.

## Kontrola a návrat k pôvodnej verzii

```bash
sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd
```

Návrat k pôvodnej verzii odstráni doplnkový konfiguračný súbor, znova povolí `ssh.socket`, ak bol predtým povolený, a reštartuje distribučný `sshd`. Zostavenie v `/opt/openssh-10.6p2` zostane na disku, kým ho neodstránite. Po návrate k pôvodnej verzii prestanú kľúče `ssh-mldsa44-ed25519` na tomto serveri fungovať.

## Potom v CH-J Tools

Znova sa pripojte k serveru. V časti **Users** teraz môžete pridať kľúč `ssh-mldsa44-ed25519` z Keychain. Ak server stále hlási staršiu verziu, CH-J Tools zobrazí hlásenie "OpenSSH 10.6 or newer is required" a kľúč nepridá.