cert8.db — не аднаразовы кэш: праверце ўладальніка сховішча

Старое паведамленне ў падтрымцы раіць выдаліць файл з назвай cert8.db, і VPN пачынае працаваць. Часцей за ўсё такая паслядоўнасць — супадзенне, а не рашэнне. Гэты файл — база сертыфікатаў, і яго выдаленне змяняе пастаянны стан бяспекі так, як гэтага не паказвае паспяховы запуск.

Замерлы ўваход — гэта не праблема кэша

Кэш браўзера захоўвае копіі рэсурсаў; база сертыфікатаў захоўвае рашэнні аб даверы, сертыфікаты і ключы, што да іх належаць. Выдаліць другую — бліжэй да скідання асобы, чым да ачысткі гісторыі. Калі кліент замер падчас уваходу, карыснае сведчанне — які працэс адкрыў які профіль і што ён запісаў у журнал, а не які файл выдаліў допіс на форуме. Паўтарыць замярзанне і прачытаць журнал кліента даўжэй, чым выдаліць файл, і гэта адзіны шлях да сапраўднай прычыны.

Назва файла таксама нясе гісторыю: NSS адрознівае старыя cert8.db і key3.db ад cert9.db і key4.db на SQLite. Запішыце радок журнала, які бачылі да замярзання, бо гэта адзінае трывалае сведчанне, якое ў вас ёсць.

Які профіль кліент насамрэч адкрывае

Вызначце кліент, яго спосаб аўтэнтыфікацыі і сховішча, якое ён чытае. Тут ёсць тры шляхі ўваходу: з дапамогай браўзера, убудаваны браўзер і ўласны кліент, і яны не абавязаныя дзяліць адзін профіль. База з правільнай назвай у іншай папцы не з’яўляецца доказам, што замерлы працэс адкрыў менавіта яе. У Linux сховішча NSS звычайна знаходзіцца ў ~/.pki/nssdb карыстальніка або ў папцы профілю асобнай праграмы. Абедзве схемы могуць існаваць на адной машыне, таму праверце абедзве, калі міграцыя нядаўняя.

Пералічыце, што ўтрымлівае сховішча, перад зменамі: certutil -L -d sql:$HOME/.pki/nssdb друкуе сертыфікаты, а той самы інструмент з -K паказвае, ці ёсць ключы.

Калі каманда паведамляе, што базу нельга адкрыць, вы знайшлі профіль, які выкарыстоўвае інструмент, а не абавязкова той, які выкарыстоўваў VPN.

Зрабіце рэзервовую копію профілю перад любым рамантам

Закрыйце закранутыя праграмы, затым скапіруйце ўвесь каталог профілю дазволеным спосабам рэзервовага капіявання. Базы сертыфікатаў і ключоў — звязнае, але асобнае стан, і захаванне аднаго адвольнага файла не з’яўляецца планам аднаўлення ўсёй асобы. Абараніце копію, бо профіль можа змяшчаць прыватныя ключы. Запішыце, што і дзе вы скапіравалі, каб няўдалы рамант меў шлях назад.

Затым пацвердзіце дакладны абсяг раманту ў суправаджальніка. Поўнае скіданне сховішча, выдаленне аднаго вядомага састарэлага сертыфіката і рамант профілю браўзера — гэта тры розныя змены з трыма рознымі рызыкамі.

Пасля раманту ўвайдзіце і аглядзіце сховішча

Пасля дазволенага раманту ўвайдзіце ў VPN і пераканайцеся, што сертыфікат сервера па-ранейшаму правяраецца як задумана. Праверце, што асобы, патрэбныя працоўнаму працэсу, на месцы і што не з’явіўся нечаканы якар даверу. Рамант, які прымушае злучэнне працаваць праз большы давер, чым раней, не з’яўляецца рамантам.

Трымайце назіранне і інструкцыю асобна: адно выдаленне і адзін паспяховы запуск — не агульнае рашэнне.

Калі замярзанне вернецца, зафіксуйце журнал кліента і профіль, які выкарыстоўваецца, перш чым змяняць што-небудзь яшчэ. Менавіта гэты запіс ператварае здагадку ў дыягназ.