Το cert8.db δεν είναι κρυφή μνήμη μιας χρήσης: ελέγξτε τον ιδιοκτήτη του χώρου αποθήκευσης

Ένα παλιό νήμα υποστήριξης λέει να διαγράψετε ένα αρχείο με όνομα cert8.db και το VPN αρχίζει να λειτουργεί. Αυτή η ακολουθία είναι πιο συχνά σύμπτωση παρά διόρθωση. Το αρχείο είναι βάση δεδομένων πιστοποιητικών και η αφαίρεσή του αλλάζει μόνιμη κατάσταση ασφάλειας με τρόπους που μια επιτυχής εκκίνηση δεν αποκαλύπτει.

Μια παγωμένη σύνδεση δεν είναι πρόβλημα κρυφής μνήμης

Η κρυφή μνήμη του προγράμματος περιήγησης αποθηκεύει αντίγραφα πόρων· η βάση πιστοποιητικών αποθηκεύει αποφάσεις εμπιστοσύνης, πιστοποιητικά και τα κλειδιά τους. Η διαγραφή της δεύτερης είναι πιο κοντά σε επαναφορά ταυτότητας παρά σε καθαρισμό ιστορικού. Αν ο πελάτης πάγωσε κατά τη σύνδεση, το χρήσιμο στοιχείο είναι ποια διεργασία άνοιξε ποιο προφίλ και τι κατέγραψε, όχι ποιο αρχείο αφαίρεσε μια ανάρτηση φόρουμ. Η αναπαραγωγή του παγώματος και η ανάγνωση του αρχείου καταγραφής διαρκούν περισσότερο από τη διαγραφή ενός αρχείου και είναι η μόνη διαδρομή σε πραγματική αιτία.

Το όνομα του αρχείου φέρει και ιστορία: το NSS ξεχωρίζει τα παλιά cert8.db και key3.db από τα cert9.db και key4.db του SQLite. Σημειώστε τη γραμμή καταγραφής που είδατε πριν από το πάγωμα, γιατί είναι το μόνο διαρκές στοιχείο που έχετε.

Ποιο προφίλ ανοίγει πραγματικά ο πελάτης

Προσδιορίστε τον πελάτη, τη μέθοδο ταυτοποίησης και τον χώρο αποθήκευσης που διαβάζει. Υπάρχουν εδώ τρεις διαδρομές σύνδεσης: με βοήθεια περιηγητή, ενσωματωμένος περιηγητής και εγγενής πελάτης, και δεν χρειάζεται να μοιράζονται προφίλ. Μια βάση με το σωστό όνομα σε άλλο κατάλογο δεν αποδεικνύει ότι την άνοιξε η παγωμένη διεργασία. Στο Linux ο χώρος του NSS βρίσκεται συνήθως κάτω από το ~/.pki/nssdb του χρήστη ή σε κατάλογο προφίλ ανά εφαρμογή. Οι δύο διατάξεις μπορούν να συνυπάρχουν στο ίδιο μηχάνημα, οπότε ελέγξτε και τις δύο αν η μετεγκατάσταση είναι πρόσφατη.

Καταγράψτε τι περιέχει ο χώρος πριν τον αλλάξετε: το certutil -L -d sql:$HOME/.pki/nssdb εκτυπώνει τα πιστοποιητικά και το ίδιο εργαλείο με -K δείχνει αν υπάρχουν κλειδιά.

Αν η εντολή αναφέρει ότι η βάση δεν ανοίγει, βρήκατε το προφίλ που χρησιμοποιεί το εργαλείο, όχι απαραίτητα αυτό που χρησιμοποίησε το VPN.

Κρατήστε αντίγραφο ασφαλείας του προφίλ πριν από κάθε επισκευή

Κλείστε τις επηρεαζόμενες εφαρμογές και μετά αντιγράψτε ολόκληρο τον κατάλογο προφίλ με την εγκεκριμένη μέθοδο. Οι βάσεις πιστοποιητικών και κλειδιών είναι συσχετισμένη αλλά ξεχωριστή κατάσταση, και η αποθήκευση ενός αυθαίρετου αρχείου δεν είναι σχέδιο ανάκτησης για όλη την ταυτότητα. Προστατέψτε το αντίγραφο, γιατί το προφίλ μπορεί να περιέχει ιδιωτικά κλειδιά. Καταγράψτε τι αντιγράψατε και πού, ώστε μια αποτυχημένη επισκευή να έχει δρόμο επιστροφής.

Έπειτα επιβεβαιώστε το ακριβές εύρος της επισκευής με τον συντηρητή. Πλήρης επαναφορά του χώρου, αφαίρεση ενός γνωστού παρωχημένου πιστοποιητικού και επισκευή προφίλ περιηγητή είναι τρεις διαφορετικές αλλαγές με τρεις διαφορετικούς κινδύνους.

Μετά την επισκευή, συνδεθείτε και επιθεωρήστε τον χώρο

Μετά από εγκεκριμένη επισκευή, συνδεθείτε στο VPN και επιβεβαιώστε ότι το πιστοποιητικό του διακομιστή εξακολουθεί να επικυρώνεται όπως προβλέπεται. Ελέγξτε ότι οι ταυτότητες που χρειάζεται η ροή εργασίας είναι ακόμη παρούσες και ότι δεν εμφανίστηκε απρόσμενη άγκυρα εμπιστοσύνης. Επισκευή που κάνει τη σύνδεση να λειτουργεί εμπιστευόμενη περισσότερα από πριν δεν είναι επισκευή.

Κρατήστε την παρατήρηση και την οδηγία χωριστά: μία διαγραφή και μία επιτυχής εκκίνηση δεν είναι γενική λύση.

Αν το πάγωμα επιστρέψει, καταγράψτε το αρχείο του πελάτη και το προφίλ σε χρήση πριν αλλάξετε οτιδήποτε άλλο. Αυτό το αρχείο μετατρέπει μια εικασία σε διάγνωση.