OpenSSH 10.6 cho khóa SSH hậu lượng tử

Bản dịch này đang được rà soát về mặt ngôn ngữ. Nếu có đoạn nào chưa rõ, hãy đối chiếu với bản gốc tiếng Anh.

CH-J Tools chỉ có thể thêm loại khóa hậu lượng tử ssh-mldsa44-ed25519 vào máy chủ khi máy chủ đó chạy OpenSSH 10.6 trở lên. OpenSSH 10.6 (ngày 6 tháng 10 năm 2026) là bản phát hành đầu tiên hỗ trợ dạng chuẩn hóa của loại khóa này. Các bản phát hành cũ hơn sẽ từ chối dạng này. Một số bản, chẳng hạn 10.2p1 trong Ubuntu 26.04, chỉ nhận biết biến thể thử nghiệm …@openssh.com mà CH-J Tools không sử dụng.

Tại thời điểm viết tài liệu, Ubuntu và Debian chưa cung cấp 10.6 qua apt. Hướng dẫn này cài đặt bản chính thức OpenSSH 10.6p2 (ngày 5 tháng 11 năm 2026, khắc phục lỗi cho phép vượt qua xác thực bằng mật khẩu trong các bản dựng Linux không có PAM) song song với gói của bản phân phối và chuyển dịch vụ ssh sang dùng bản này.

Đã kiểm thử trên bản cài đặt mới Ubuntu 26.04.1 LTS: cài đặt, đăng nhập bằng khóa ssh-mldsa44-ed25519, khởi động lại và hoàn tác.

Trước khi bắt đầu

Bạn phải tự bảo trì bản dựng này. apt upgrade sẽ không cung cấp các bản vá bảo mật cho nó. Theo dõi ghi chú phát hành OpenSSH và lặp lại quy trình với bản phát hành mới hơn, hoặc hoàn tác.
Giữ một phiên SSH thứ hai luôn mở trong suốt quy trình. Tốt hơn nữa là có quyền truy cập bảng điều khiển (trình giám sát máy ảo, IPMI, bảng điều khiển đám mây).
Thử trên máy thử nghiệm trước.
Bạn cần quyền root, systemd, khoảng 1 GiB dung lượng trống trong /var/tmp và kết nối internet cho apt và việc tải OpenSSH.

Những việc tập lệnh thực hiện

Cài đặt các gói phụ thuộc để biên dịch bằng apt.
Tải openssh-10.6p2.tar.gz. Kiểm tra giá trị SHA-256 đã được ấn định và chữ ký OpenPGP từ khóa phát hành OpenSSH 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA.
Biên dịch và cài đặt vào /opt/openssh-10.6p2. Cấu hình của bạn trong /etc/ssh (khóa máy chủ, sshd_config) và cấu hình PAM được giữ nguyên.
Kiểm tra sshd_config hiện tại bằng phiên bản mới. Sau đó khởi chạy một thực thể thử nghiệm tại 127.0.0.1:2226 và chỉ chuyển đổi khi cả hai bước kiểm tra đều thành công.
Thêm tệp cấu hình bổ sung cho systemd tại /etc/systemd/system/ssh.service.d/chj-openssh.conf và vô hiệu hóa ssh.socket, vì sshd từ dự án gốc không hỗ trợ kích hoạt qua socket. Sau đó khởi động lại ssh.service.
Kiểm tra xem tiến trình đang chạy có phải là /opt/openssh-10.6p2/sbin/sshd và chuỗi nhận dạng có phải là SSH-2.0-OpenSSH_10.6 hay không. Nếu một trong hai bước kiểm tra thất bại, tập lệnh sẽ tự động hoàn tác.

Cài đặt

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

Sau đó mở một kết nối SSH mới. Chỉ đóng phiên cũ sau khi đã đăng nhập thành công qua kết nối mới.

Kiểm tra và hoàn tác

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

Thao tác hoàn tác xóa tệp cấu hình bổ sung, bật lại ssh.socket nếu trước đó nó được bật, và khởi động lại sshd của bản phân phối. Bản dựng trong /opt/openssh-10.6p2 vẫn nằm trên đĩa cho đến khi bạn xóa nó. Sau khi hoàn tác, các khóa ssh-mldsa44-ed25519 không còn hoạt động trên máy chủ đó.

Sau đó trong CH-J Tools

Kết nối lại với máy chủ. Trong Users, giờ đây bạn có thể thêm khóa ssh-mldsa44-ed25519 từ Keychain. Nếu máy chủ vẫn báo phiên bản cũ hơn, CH-J Tools hiển thị thông báo "OpenSSH 10.6 or newer is required" và không thêm khóa.