# OpenSSH 10.6 för postkvantnycklar för SSH

CH-J Tools kan bara lägga till den postkvanta nyckeltypen `ssh-mldsa44-ed25519` på en server om servern kör **OpenSSH 10.6 eller senare**. OpenSSH 10.6 (6 oktober 2026) är den första utgåvan med den standardiserade formen av denna nyckeltyp. Äldre utgåvor avvisar den. Vissa av dem, som 10.2p1 i Ubuntu 26.04, känner bara till en experimentell `…@openssh.com`-variant som CH-J Tools inte använder.

I skrivande stund tillhandahåller varken Ubuntu eller Debian 10.6 via `apt`. Den här guiden installerar den officiella utgåvan **OpenSSH 10.6p2** (5 november 2026, åtgärdar en möjlighet att kringgå lösenordsautentisering i Linuxbyggen utan PAM) vid sidan av distributionens paket och får tjänsten `ssh` att använda den.

Testat på en ren installation av Ubuntu 26.04.1 LTS: installation, inloggning med en `ssh-mldsa44-ed25519`-nyckel, omstart och återställning.

## Innan du börjar

- **Du ansvarar själv för underhållet av det här bygget.** `apt upgrade` kommer inte att leverera säkerhetsfixar för det. Följ [OpenSSH:s versionsinformation](https://www.openssh.com/releasenotes.html) och upprepa proceduren med en nyare utgåva, eller återställ till tidigare version.
- Ha **en andra SSH-session öppen** under hela proceduren. Ännu bättre är att ha konsolåtkomst (hypervisor, IPMI, molnkonsol).
- Prova först på en testmaskin.
- Du behöver root-behörighet, systemd, ungefär 1 GiB ledigt i `/var/tmp` och internetåtkomst för `apt` och hämtningen av OpenSSH.

## Vad skriptet gör

1. Installerar byggberoenden med `apt`.
2. Hämtar `openssh-10.6p2.tar.gz`. Kontrollerar den fast angivna SHA-256-kontrollsumman och OpenPGP-signaturen från OpenSSH:s utgivningsnyckel `7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA`.
3. Bygger och installerar i `/opt/openssh-10.6p2`. Din konfiguration i `/etc/ssh` (värdnycklar, `sshd_config`) och PAM-konfigurationen förblir oförändrade.
4. Kontrollerar aktuell `sshd_config` med den nya versionen. Startar sedan en testinstans på `127.0.0.1:2226` och gör inget byte förrän båda kontrollerna har lyckats.
5. Lägger till kompletteringsfilen `/etc/systemd/system/ssh.service.d/chj-openssh.conf` för systemd och inaktiverar `ssh.socket`, eftersom sshd från originalprojektet saknar stöd för socketaktivering. Startar sedan om `ssh.service`.
6. Kontrollerar att processen som körs är `/opt/openssh-10.6p2/sbin/sshd` och att bannern lyder `SSH-2.0-OpenSSH_10.6`. Om någon av kontrollerna misslyckas återställer skriptet automatiskt tidigare tillstånd.

## Installera

```bash
curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install
```

Öppna sedan en **ny** SSH-anslutning. Stäng den gamla sessionen först när den nya inloggningen fungerar.

## Kontrollera och återställ

```bash
sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd
```

Återställningen tar bort kompletteringsfilen, aktiverar `ssh.socket` igen om den var aktiverad tidigare och startar om distributionens `sshd`. Bygget i `/opt/openssh-10.6p2` ligger kvar på disken tills du tar bort det. Efter en återställning fungerar inte längre `ssh-mldsa44-ed25519`-nycklar på servern.

## Därefter i CH-J Tools

Anslut till servern igen. Under **Users** kan du nu lägga till en `ssh-mldsa44-ed25519`-nyckel från Keychain. Om servern fortfarande rapporterar en äldre version visar CH-J Tools meddelandet "OpenSSH 10.6 or newer is required" och lägger inte till nyckeln.