cert8.db не е кеш за еднократна употреба: проверете сопственикот на складиштето

Стара тема за поддршка советува да избришете датотека наречена cert8.db и VPN повторно почнува да работи. Таа низа е почесто случајност отколку поправка. Датотеката е база на сертификати, а нејзиното отстранување менува трајна безбедносна состојба на начини што успешното стартување не ги открива.

Замрзнато најавување не е проблем со кешот

Кешот на прелистувачот чува копии од ресурси; базата на сертификати чува одлуки за доверба, сертификати и клучевите што одат со нив. Бришењето на втората е поблиску до ресетирање на идентитет отколку до чистење историја. Ако клиентот замрзнал при најавување, корисниот доказ е кој процес кој профил го отворил и што запишал, а не која датотека ја отстранил објава на форум. Повторувањето на замрзнувањето и читањето на дневникот на клиентот трае подолго од бришење датотека и е единствениот пат до вистинска причина.

Името на датотеката носи и историја: NSS ги разликува старите cert8.db и key3.db од SQLite cert9.db и key4.db. Запишете ја линијата од дневникот што ја видовте пред замрзнувањето, зашто тоа е единствениот траен доказ што го имате.

Кој профил клиентот навистина го отвора

Определете го клиентот, неговиот метод на автентикација и складиштето што го чита. Овде има три патишта за најавување: со помош на прелистувач, вграден прелистувач и нативен клиент, и тие не мора да делат профил. База со точно име во друга папка не е доказ дека замрзнатиот процес ја отворил. На Linux складиштето на NSS обично се наоѓа под ~/.pki/nssdb на корисникот или во папка за профил по апликација. Двете поставености можат да постојат на една машина, затоа проверете ги двете ако миграцијата е неодамнешна.

Набројте што содржи складиштето пред да го смените: certutil -L -d sql:$HOME/.pki/nssdb ги печати сертификатите, а истиот алат со -K покажува дали има клучеви.

Ако командата пријави дека базата не може да се отвори, сте го нашле профилот што го користи алатот, но не нужно и оној што го користел VPN.

Направете резервна копија од профилот пред секоја поправка

Затворете ги засегнатите апликации, потоа копирајте ја целата папка на профилот со одобрениот метод за резервна копија. Базите на сертификати и клучеви се поврзана но одделна состојба, а чувањето на една произволна датотека не е план за обновување на целиот идентитет. Заштитете ја копијата, зашто профилот може да содржи приватни клучеви. Забележете што и каде сте копирале, за да има неуспешната поправка пат назад.

Потоа потврдете го точниот обем на поправката со одржувачот. Целосно ресетирање на складиштето, отстранување на еден познат застарен сертификат и поправка на профил на прелистувач се три различни промени со три различни ризици.

По поправката, најавете се и прегледајте го складиштето

По одобрена поправка, најавете се на VPN и потврдете дека сертификатот на серверот сè уште се валидира како што е предвидено. Проверете дека идентитетите потребни на работниот тек сè уште се присутни и дека не се појавил неочекуван сидро на доверба. Поправка што ја оспособува врската со поголема доверба од порано не е поправка.

Држете ги набљудувањето и упатството одделно: едно бришење и едно успешно стартување не е општо решение.

Ако замрзнувањето се врати, забележете го дневникот на клиентот и профилот во употреба пред да смените нешто друго. Токму тој запис ја претвора претпоставката во дијагноза.