cert8.db nav vienreizējs kešs: pārbaudiet krātuves īpašnieku

Vecs atbalsta pavediens iesaka dzēst failu cert8.db, un VPN atkal sāk darboties. Šī secība biežāk ir nejaušība nekā labojums. Fails ir sertifikātu datubāze, un tā noņemšana maina pastāvīgo drošības stāvokli tā, kā veiksmīga palaišana neatklāj.

Iesaldēta pieteikšanās nav keša problēma

Pārlūka kešs glabā resursu kopijas; sertifikātu datubāze glabā uzticēšanās lēmumus, sertifikātus un tiem piederošās atslēgas. Dzēst otro ir tuvāk identitātes atiestatīšanai nekā vēstures notīrīšanai. Ja klients pieteikšanās laikā iesala, noderīgais pierādījums ir tas, kurš process atvēra kuru profilu un ko tas ierakstīja žurnālā, nevis tas, kuru failu foruma ziņa izdzēsa. Iesalšanas atkārtošana un klienta žurnāla lasīšana prasa vairāk laika nekā faila dzēšana, un tas ir vienīgais ceļš uz īstu cēloni.

Faila nosaukums nes arī vēsturi: NSS atšķir vecos cert8.db un key3.db no SQLite cert9.db un key4.db. Pierakstiet žurnāla rindu, ko redzējāt pirms iesalšanas, jo tas ir vienīgais noturīgais pierādījums, kas jums ir.

Kuru profilu klients patiešām atver

Nosakiet klientu, tā autentifikācijas metodi un krātuvi, ko tas lasa. Šeit ir trīs pieteikšanās ceļi: ar pārlūka palīdzību, iegultais pārlūks un vietējais klients, un tiem nav jādala profils. Datubāze ar pareizo nosaukumu citā mapē nav pierādījums, ka iesalusi procese to atvēra. Linux sistēmā NSS krātuve parasti atrodas lietotāja ~/.pki/nssdb mapē vai lietotnei raksturīgā profila mapē. Abi izvietojumi var pastāvēt vienā mašīnā, tāpēc pārbaudiet abus, ja migrācija ir nesen veikta.

Pirms maiņas uzskaitiet, kas krātuvē ir: certutil -L -d sql:$HOME/.pki/nssdb izdrukā sertifikātus, un tas pats rīks ar -K parāda, vai atslēgas ir.

Ja komanda ziņo, ka datubāzi nevar atvērt, esat atradis profilu, ko izmanto rīks, bet ne obligāti to, ko izmantoja VPN.

Pirms jebkura labojuma izveidojiet profila dublējumu

Aizveriet skartās lietotnes, pēc tam nokopējiet visu profila mapi ar apstiprināto dublēšanas metodi. Sertifikātu un atslēgu datubāzes ir saistīts, bet atsevišķs stāvoklis, un viena patvaļīga faila saglabāšana nav visas identitātes atjaunošanas plāns. Aizsargājiet kopiju, jo profilā var būt privātās atslēgas. Pierakstiet, ko un kur dublējāt, lai neizdevušam labojumam būtu ceļš atpakaļ.

Pēc tam apstipriniet precīzu labojuma apjomu ar uzturētāju. Pilnīga krātuves atiestatīšana, viena zināma novecojuša sertifikāta noņemšana un pārlūka profila labošana ir trīs dažādas izmaiņas ar trim dažādiem riskiem.

Pēc labojuma piesakieties un pārbaudiet krātuvi

Pēc atļauta labojuma piesakieties VPN un apstipriniet, ka servera sertifikāts joprojām tiek validēts, kā paredzēts. Pārbaudiet, vai darbplūsmai nepieciešamās identitātes joprojām pastāv un vai nav parādījies negaidīts uzticēšanās enkurs. Labojums, kas liek savienojumam darboties, uzticoties vairāk nekā pirms tam, nav labojums.

Turiet novērojumu un norādījumu atsevišķi: viena dzēšana un viena veiksmīga palaišana nav vispārīgs risinājums.

Ja iesalšana atgriežas, pirms kaut ko citu mainīt fiksējiet klienta žurnālu un izmantoto profilu. Tieši šis ieraksts pārvērš minējumu diagnozē.