OpenSSH 10.6 za postkvantne ključe SSH

Jezikovni pregled tega prevoda še poteka. Ob nejasnostih primerjajte z angleškim izvirnikom.

CH-J Tools lahko na strežnik doda postkvantni tip ključa ssh-mldsa44-ed25519 le, če na njem teče OpenSSH 10.6 ali novejši. OpenSSH 10.6 (6. oktobra 2026) je prva izdaja s standardizirano obliko tega tipa ključa. Starejše izdaje jo zavrnejo. Nekatere, na primer 10.2p1 v Ubuntu 26.04, poznajo le poskusno različico …@openssh.com, ki je CH-J Tools ne uporablja.

V času pisanja Ubuntu in Debian različice 10.6 ne ponujata prek apt. Ta vodnik namesti uradni OpenSSH 10.6p2 (5. novembra 2026, odpravlja obhod preverjanja pristnosti z geslom v gradnjah za Linux brez PAM) poleg paketa distribucije in storitev ssh usmeri nanj.

Preizkušeno na sveži namestitvi Ubuntu 26.04.1 LTS: namestitev, prijava s ključem ssh-mldsa44-ed25519, ponovni zagon in povrnitev prejšnjega stanja.

Pred začetkom

Za vzdrževanje te gradnje skrbite sami. apt upgrade zanjo ne bo zagotavljal varnostnih popravkov. Spremljajte opombe ob izdajah OpenSSH in postopek ponovite z novejšo izdajo ali povrnite prejšnje stanje.
Ves čas postopka imejte odprto drugo sejo SSH. Še bolje je, če imate dostop do konzole (hipervizor, IPMI, konzola v oblaku).
Postopek najprej preizkusite na testnem računalniku.
Potrebujete pravice root, systemd, približno 1 GiB prostega prostora v /var/tmp in dostop do interneta za apt in prenos OpenSSH.

Kaj naredi skript

Z apt namesti odvisnosti za gradnjo.
Prenese openssh-10.6p2.tar.gz. Preveri vnaprej določeno zgoščeno vrednost SHA-256 in podpis OpenPGP s ključem za izdaje OpenSSH 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA.
Zgradi in namesti v /opt/openssh-10.6p2. Vaša konfiguracija v /etc/ssh (ključi gostitelja, sshd_config) in konfiguracija PAM ostaneta nespremenjeni.
Z novo različico preveri trenutni sshd_config. Nato zažene preizkusni primerek na 127.0.0.1:2226 in ne preklopi ničesar, dokler obe preverjanji nista uspešni.
Doda dopolnilno konfiguracijsko datoteko systemd /etc/systemd/system/ssh.service.d/chj-openssh.conf in onemogoči ssh.socket, ker izvorni sshd ne podpira aktivacije prek vtičnice. Nato znova zažene ssh.service.
Preveri, da je tekoči proces /opt/openssh-10.6p2/sbin/sshd in da je identifikacijski niz SSH-2.0-OpenSSH_10.6. Če katero od preverjanj ne uspe, samodejno povrne prejšnje stanje.

Namestitev

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

Nato odprite novo povezavo SSH. Staro sejo zaprite šele, ko prijava prek nove povezave deluje.

Preverjanje in povrnitev prejšnjega stanja

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

Povrnitev prejšnjega stanja odstrani dopolnilno konfiguracijsko datoteko, znova omogoči ssh.socket, če je bila prej omogočena, in znova zažene distribucijski sshd. Gradnja v /opt/openssh-10.6p2 ostane na disku, dokler je ne izbrišete. Po povrnitvi ključi ssh-mldsa44-ed25519 na tem strežniku ne delujejo več.

Nato v CH-J Tools

Znova se povežite s strežnikom. V razdelku Users lahko zdaj dodate ključ ssh-mldsa44-ed25519 iz Keychain. Če strežnik še vedno sporoča starejšo različico, CH-J Tools prikaže sporočilo "OpenSSH 10.6 or newer is required" in ključa ne doda.