OpenSSH 10.6 pro postkvantové SSH klíče

Jazyková revize tohoto překladu probíhá. Při nejasnostech porovnejte anglický originál.

CH-J Tools umí přidat postkvantový typ klíče ssh-mldsa44-ed25519 na server jen tehdy, když na něm běží OpenSSH 10.6 nebo novější. OpenSSH 10.6 (6. října 2026) je první vydání se standardizovanou podobou tohoto typu klíče. Starší vydání ho odmítnou. Některá z nich, například 10.2p1 v Ubuntu 26.04, znají jen experimentální variantu …@openssh.com, kterou CH-J Tools nepoužívá.

Ubuntu ani Debian zatím verzi 10.6 přes apt nedodávají. Tento návod nainstaluje oficiální OpenSSH 10.6p2 (5. listopadu 2026, opravuje obejití ověření heslem v linuxových sestaveních bez PAM) vedle balíčku distribuce a přepne na něj službu ssh.

Vyzkoušeno na čistém Ubuntu 26.04.1 LTS: instalace, přihlášení klíčem ssh-mldsa44-ed25519, restart a návrat zpět.

Než začnete

Toto sestavení udržujete sami. apt upgrade pro něj bezpečnostní opravy nedodá. Sledujte poznámky k vydáním OpenSSH a s novějším vydáním postup zopakujte, nebo se vraťte zpět.
Po celou dobu mějte otevřenou druhou SSH relaci. Ještě lepší je přístup ke konzoli (hypervizor, IPMI, konzole cloudu).
Vyzkoušejte to nejdřív na testovacím stroji.
Potřebujete root, systemd, asi 1 GiB volného místa ve /var/tmp a přístup k internetu pro apt a stažení OpenSSH.

Co skript dělá

Nainstaluje přes apt závislosti pro sestavení.
Stáhne openssh-10.6p2.tar.gz. Zkontroluje pevně zadaný SHA-256 a OpenPGP podpis klíčem vydání OpenSSH 7168 B983 815A 5EEF 59A4 ADFD 2A3F 414E 7360 60BA.
Sestaví ho do /opt/openssh-10.6p2. Vaše konfigurace v /etc/ssh (klíče hostitele, sshd_config) i konfigurace PAM zůstanou beze změny.
Zkontroluje stávající sshd_config novou verzí. Pak spustí testovací instanci na 127.0.0.1:2226 a nic nepřepne, pokud obě kontroly neprojdou.
Přidá systemd drop-in /etc/systemd/system/ssh.service.d/chj-openssh.conf a vypne ssh.socket, protože sshd z upstreamu neumí socket activation. Potom restartuje ssh.service.
Ověří, že běží proces /opt/openssh-10.6p2/sbin/sshd a že banner zní SSH-2.0-OpenSSH_10.6. Pokud některá kontrola selže, sám se vrátí zpět.

Instalace

curl -fsSLO https://tools.ch-j.de/files/tools/chj-openssh-10.6.sh
echo "cdf3031a0b64db3e3bf3c83d31bd746aee5505757b1af5e137750326ed8d7a01  chj-openssh-10.6.sh" | sha256sum -c -
less chj-openssh-10.6.sh          # read it before running it as root
sudo bash chj-openssh-10.6.sh install

Potom otevřete novou SSH relaci. Starou relaci zavřete až ve chvíli, kdy nové přihlášení funguje.

Kontrola a návrat zpět

sudo bash chj-openssh-10.6.sh status     # running binary, ssh.socket, banner
sudo bash chj-openssh-10.6.sh rollback   # back to the distribution sshd

Návrat odstraní drop-in, znovu zapne ssh.socket, pokud byl předtím zapnutý, a restartuje sshd z distribuce. Sestavení v /opt/openssh-10.6p2 zůstane na disku, dokud ho nesmažete. Po návratu klíče ssh-mldsa44-ed25519 na tomto serveru přestanou fungovat.

Potom v CH-J Tools

Znovu se připojte k serveru. V modulu Users teď můžete přidat klíč ssh-mldsa44-ed25519 z Keychainu. Pokud server stále hlásí starší verzi, CH-J Tools ohlásí „potřebuje OpenSSH 10.6 nebo novější“ a klíč nepřidá.