cert8.db není jednorázová mezipaměť: zkontrolujte vlastníka úložiště

Staré vlákno podpory radí smazat soubor cert8.db a VPN začne fungovat. Tento sled je častěji náhoda než oprava. Soubor je databáze certifikátů a jeho odstranění mění trvalý stav zabezpečení způsobem, který úspěšné spuštění neodhalí.

Zamrzlé přihlášení není problém mezipaměti

Mezipaměť prohlížeče ukládá kopie zdrojů; databáze certifikátů ukládá rozhodnutí o důvěře, certifikáty a klíče, které k nim patří. Smazat druhou je blíž resetování identity než mazání historie. Pokud klient při přihlašování zamrzl, užitečný důkaz je, který proces otevřel který profil a co zalogoval, ne který soubor odstranil příspěvek na fóru. Zopakovat zamrznutí a přečíst log klienta trvá déle než smazat soubor a je to jediná cesta ke skutečné příčině.

Název souboru nese i historii: NSS rozlišuje staré cert8.db a key3.db od cert9.db a key4.db na SQLite. Zapište řádek logu, který jste viděli před zamrznutím, protože je to jediný trvalý důkaz, který máte.

Který profil klient skutečně otevírá

Určete klienta, způsob ověřování a úložiště, které čte. Existují tu tři cesty přihlášení: s pomocí prohlížeče, vestavěný prohlížeč a nativní klient, a nemusejí sdílet profil. Databáze se správným názvem v jiném adresáři není důkazem, že ji zamrzlý proces otevřel. V Linuxu obvykle úložiště NSS leží pod ~/.pki/nssdb uživatele nebo v adresáři profilu aplikace. Obě uspořádání mohou existovat na jednom stroji, proto zkontrolujte obě, je-li migrace nedávná.

Před změnou vypište, co úložiště obsahuje: certutil -L -d sql:$HOME/.pki/nssdb vypíše certifikáty a stejný nástroj s -K ukáže, zda jsou přítomny klíče.

Pokud příkaz hlásí, že databázi nelze otevřít, našli jste profil, který používá nástroj, ne nutně ten, který používala VPN.

Před jakoukoli opravou zálohujte profil

Zavřete postižené aplikace a potom zkopírujte celý adresář profilu schváleným způsobem zálohování. Databáze certifikátů a klíčů jsou související, ale odlišný stav a uložení jednoho libovolného souboru není plán obnovy celé identity. Chraňte kopii, protože profil může obsahovat soukromé klíče. Zapište, co a kam jste zálohovali, aby neúspěšná oprava měla cestu zpět.

Potom potvrďte přesný rozsah opravy se správcem. Úplný reset úložiště, odstranění jednoho známého zastaralého certifikátu a oprava profilu prohlížeče jsou tři různé změny se třemi různými riziky.

Po opravě se přihlaste a úložiště prohlédněte

Po schválené opravě se přihlaste k VPN a potvrďte, že se certifikát serveru stále ověřuje podle záměru. Zkontrolujte, že identity potřebné pro postup jsou stále přítomné a že se neobjevila neočekávaná kotva důvěry. Oprava, která spojení zprovozní tím, že věří víc než dřív, není oprava.

Držte pozorování a pokyn odděleně: jedno smazání a jeden úspěšný start není obecné řešení.

Vrátí-li se zamrznutí, zachyťte log klienta a používaný profil, než změníte cokoli dalšího. Právě tento záznam mění odhad v diagnózu.