OpenSSH の耐量子デフォルト設定と、耐量子方式ではない鍵交換の警告

目的

2026年10月25日時点の情報である。実際の接続相手とその設定を確認し、耐量子方式ではない鍵交換についての警告を解消する。ポリシーを変更する前に、OpenSSH の耐量子対応ガイド、インストール済みパッケージのドキュメント、有効な設定を再確認する。以下のバージョンの節目は上流の機能対応を示すものであり、最新のセキュリティパッチ水準を示すものではない。

OpenSSH のガイドによると、9.0 から耐量子方式がデフォルトになり、当初は sntrup のハイブリッド方式が使われていた。mlkem768x25519-sha256 への対応は 9.9 で追加され、10.0 でデフォルトになった。2025年10月6日リリースの OpenSSH 10.1 では、接続で耐量子方式ではない鍵交換が選択された場合に警告が表示されるようになった。

前提条件

使用を許可されたテストアカウント、両端の設定へのアクセス、復旧に使える既存の管理セッションまたはコンソールを用意する。この警告は、記録された通信が将来解読されることへの防御に関するものである。警告だけで、通信の傍受、侵害、ホスト鍵の検査失敗があったとは判断できない。

手順

1. アプライアンスや組み込みの Git サービスも含め、各エンドポイントが実際に使う SSH 実装を特定する。クライアントで ssh -V を実行する。似た名前のパッケージやクライアントのバージョンから、リモートサービスの対応機能は判断できない。

2. ssh -Q kex でローカルの対応機能を調べ、続いて実際の接続先に適用される設定を調べる。

   ssh -G server.example
   

   kexalgorithms と、適用されるホスト固有の設定を確認する。対応アルゴリズムの照会結果は、実際に有効な許可リストではなく、どちらもネゴシエーションの結果ではない。

3. OpenSSH サーバーでは、十分な権限で sshd -T を実行し、有効な設定を確認する。関連する条件付き設定の評価が必要な場合は、-C の接続パラメーターを使う。編集する前に、読み込まれるファイルと一元管理された制限を確認する。

4. サポートされているベンダー更新の適用と、ハイブリッドアルゴリズムを妨げる古い制限の撤廃を優先する。古い接続相手は sntrup761x25519-sha512@openssh.com を提示する場合がある。9.9 のリリースノートには、修飾子のない sntrup761x25519-sha512 という名前の追加が明記されている。これは耐量子対応の概要で使われる略記より正確である。古いハイブリッド方式を使う接続相手を、ML-KEM がないという理由だけで従来型の方式のみに対応すると分類する必要はない。各ビルドが受け付ける正確な名前を確認する。

5. 編集後のサーバー設定は、プラットフォームの通常の再読み込み手順を行う前に sshd -t で検証する。復旧用セッションは開いたままにする。多重化セッションを再利用せず、別の接続を確立する。

   ssh -vv -S none server.example
   

   診断出力から選択された鍵交換アルゴリズムを読み取り、通常どおりホスト認証とログインができることを検証する。終了後はテストセッションを閉じる。ホスト名やアカウント情報を含む診断ログを、マスキングせずに公開しない。

6. 古い接続相手をまだアップグレードできない場合は、管理責任者、データの機密性、置き換え計画を記録する。審査済みで対象を狭く限定した例外が必要な場合を除き、警告は表示したままにする。WarnWeakCrypto を抑制しても報告が変わるだけで、暗号方式は強化されない。

期待される結果

新しい接続で許可されたハイブリッド鍵交換が選択されるか、明示的に記録された従来方式の例外が残る。既存クライアントは引き続き意図どおりに接続でき、ホスト鍵の検証も強制される。

限界と検証の根拠

この手順は上流のドキュメントに基づいており、実際の機器群で検証した結果ではない。配布元のパッケージやポリシーは異なる場合がある。鍵交換の警告に対処するためだけに、厳格なホスト鍵検査を無効にしたり、認証の制御を削除したり、ユーザー鍵を交換したりしてはならない。ハイブリッド鍵交換の成功は、その接続の鍵合意についての証拠であり、すべての認証方式が耐量子であるという主張ではない。