OpenSSH 10.6 för postkvantnycklar för SSH

Den här översättningen granskas språkligt. Jämför otydliga avsnitt med det engelska originalet.

CH-J Tools kan bara lägga till den postkvanta nyckeltypen ssh-mldsa44-ed25519 på en server om servern kör OpenSSH 10.6 eller senare. OpenSSH 10.6 (6 oktober 2026) är den första utgåvan med den standardiserade formen av denna nyckeltyp. Äldre utgåvor avvisar den. Vissa av dem, som 10.2p1 i Ubuntu 26.04, känner bara till en experimentell …@openssh.com-variant som CH-J Tools inte använder.

I skrivande stund tillhandahåller varken Ubuntu eller Debian 10.6 via apt. Den här guiden installerar den officiella utgåvan OpenSSH 10.6p2 (5 november 2026, åtgärdar en möjlighet att kringgå lösenordsautentisering i Linuxbyggen utan PAM) vid sidan av distributionens paket och får tjänsten ssh att använda den.

Testat på en ren installation av Ubuntu 26.04.1 LTS: installation, inloggning med en ssh-mldsa44-ed25519-nyckel, omstart och återställning.

Innan du börjar

Du ansvarar själv för underhållet av det här bygget. apt upgrade kommer inte att leverera säkerhetsfixar för det. Följ OpenSSH:s versionsinformation och upprepa proceduren med en nyare utgåva, eller återställ till tidigare version.
Ha en andra SSH-session öppen under hela proceduren. Ännu bättre är att ha konsolåtkomst (hypervisor, IPMI, molnkonsol).
Prova först på en testmaskin.
Du behöver root-behörighet, systemd, ungefär 1 GiB ledigt i /var/tmp och internetåtkomst för apt och hämtningen av OpenSSH.

Vad skriptet gör

Installerar byggberoenden med apt.
Hämtar openssh-10.6p2.tar.gz. Kontrollerar den fast angivna SHA-256-kontrollsumman och OpenPGP-signaturen från OpenSSH:s utgivningsnyckel 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA.
Bygger och installerar i /opt/openssh-10.6p2. Din konfiguration i /etc/ssh (värdnycklar, sshd_config) och PAM-konfigurationen förblir oförändrade.
Kontrollerar aktuell sshd_config med den nya versionen. Startar sedan en testinstans på 127.0.0.1:2226 och gör inget byte förrän båda kontrollerna har lyckats.
Lägger till kompletteringsfilen /etc/systemd/system/ssh.service.d/chj-openssh.conf för systemd och inaktiverar ssh.socket, eftersom sshd från originalprojektet saknar stöd för socketaktivering. Startar sedan om ssh.service.
Kontrollerar att processen som körs är /opt/openssh-10.6p2/sbin/sshd och att bannern lyder SSH-2.0-OpenSSH_10.6. Om någon av kontrollerna misslyckas återställer skriptet automatiskt tidigare tillstånd.

Installera

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

Öppna sedan en ny SSH-anslutning. Stäng den gamla sessionen först när den nya inloggningen fungerar.

Kontrollera och återställ

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

Återställningen tar bort kompletteringsfilen, aktiverar ssh.socket igen om den var aktiverad tidigare och startar om distributionens sshd. Bygget i /opt/openssh-10.6p2 ligger kvar på disken tills du tar bort det. Efter en återställning fungerar inte längre ssh-mldsa44-ed25519-nycklar på servern.

Därefter i CH-J Tools

Anslut till servern igen. Under Users kan du nu lägga till en ssh-mldsa44-ed25519-nyckel från Keychain. Om servern fortfarande rapporterar en äldre version visar CH-J Tools meddelandet "OpenSSH 10.6 or newer is required" och lägger inte till nyckeln.