# OpenSSH 10.6 za postkvantne ključe SSH

CH-J Tools lahko na strežnik doda postkvantni tip ključa `ssh-mldsa44-ed25519` le, če na njem teče **OpenSSH 10.6 ali novejši**. OpenSSH 10.6 (6. oktobra 2026) je prva izdaja s standardizirano obliko tega tipa ključa. Starejše izdaje jo zavrnejo. Nekatere, na primer 10.2p1 v Ubuntu 26.04, poznajo le poskusno različico `…@openssh.com`, ki je CH-J Tools ne uporablja.

V času pisanja Ubuntu in Debian različice 10.6 ne ponujata prek `apt`. Ta vodnik namesti uradni **OpenSSH 10.6p2** (5. novembra 2026, odpravlja obhod preverjanja pristnosti z geslom v gradnjah za Linux brez PAM) poleg paketa distribucije in storitev `ssh` usmeri nanj.

Preizkušeno na sveži namestitvi Ubuntu 26.04.1 LTS: namestitev, prijava s ključem `ssh-mldsa44-ed25519`, ponovni zagon in povrnitev prejšnjega stanja.

## Pred začetkom

- **Za vzdrževanje te gradnje skrbite sami.** `apt upgrade` zanjo ne bo zagotavljal varnostnih popravkov. Spremljajte [opombe ob izdajah OpenSSH](https://www.openssh.com/releasenotes.html) in postopek ponovite z novejšo izdajo ali povrnite prejšnje stanje.
- Ves čas postopka imejte **odprto drugo sejo SSH**. Še bolje je, če imate dostop do konzole (hipervizor, IPMI, konzola v oblaku).
- Postopek najprej preizkusite na testnem računalniku.
- Potrebujete pravice root, systemd, približno 1 GiB prostega prostora v `/var/tmp` in dostop do interneta za `apt` in prenos OpenSSH.

## Kaj naredi skript

1. Z `apt` namesti odvisnosti za gradnjo.
2. Prenese `openssh-10.6p2.tar.gz`. Preveri vnaprej določeno zgoščeno vrednost SHA-256 in podpis OpenPGP s ključem za izdaje OpenSSH `7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA`.
3. Zgradi in namesti v `/opt/openssh-10.6p2`. Vaša konfiguracija v `/etc/ssh` (ključi gostitelja, `sshd_config`) in konfiguracija PAM ostaneta nespremenjeni.
4. Z novo različico preveri trenutni `sshd_config`. Nato zažene preizkusni primerek na `127.0.0.1:2226` in ne preklopi ničesar, dokler obe preverjanji nista uspešni.
5. Doda dopolnilno konfiguracijsko datoteko systemd `/etc/systemd/system/ssh.service.d/chj-openssh.conf` in onemogoči `ssh.socket`, ker izvorni sshd ne podpira aktivacije prek vtičnice. Nato znova zažene `ssh.service`.
6. Preveri, da je tekoči proces `/opt/openssh-10.6p2/sbin/sshd` in da je identifikacijski niz `SSH-2.0-OpenSSH_10.6`. Če katero od preverjanj ne uspe, samodejno povrne prejšnje stanje.

## Namestitev

```bash
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install
```

Nato odprite **novo** povezavo SSH. Staro sejo zaprite šele, ko prijava prek nove povezave deluje.

## Preverjanje in povrnitev prejšnjega stanja

```bash
sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd
```

Povrnitev prejšnjega stanja odstrani dopolnilno konfiguracijsko datoteko, znova omogoči `ssh.socket`, če je bila prej omogočena, in znova zažene distribucijski `sshd`. Gradnja v `/opt/openssh-10.6p2` ostane na disku, dokler je ne izbrišete. Po povrnitvi ključi `ssh-mldsa44-ed25519` na tem strežniku ne delujejo več.

## Nato v CH-J Tools

Znova se povežite s strežnikom. V razdelku **Users** lahko zdaj dodate ključ `ssh-mldsa44-ed25519` iz Keychain. Če strežnik še vedno sporoča starejšo različico, CH-J Tools prikaže sporočilo "OpenSSH 10.6 or newer is required" in ključa ne doda.