cert8.db to nie jednorazowy cache: sprawdź właściciela magazynu

Stary wątek pomocy radzi usunąć plik o nazwie cert8.db i VPN znów działa. Taka sekwencja częściej jest zbiegiem okoliczności niż naprawą. Plik jest bazą certyfikatów, a jego usunięcie zmienia trwały stan zabezpieczeń w sposób, którego udane uruchomienie nie ujawnia.

Zawieszone logowanie to nie problem z cache

Pamięć podręczna przeglądarki przechowuje kopie zasobów; baza certyfikatów przechowuje decyzje o zaufaniu, certyfikaty i powiązane z nimi klucze. Usunięcie tej drugiej jest bliższe resetowaniu tożsamości niż czyszczeniu historii. Jeśli klient zawiesił się podczas logowania, użytecznym dowodem jest to, który proces otworzył który profil i co zapisał w logu, a nie to, który plik usunął post na forum. Odtworzenie zawieszenia i przeczytanie logu klienta trwa dłużej niż usunięcie pliku i jest jedyną drogą do prawdziwej przyczyny.

Nazwa pliku niesie też historię: NSS odróżnia stare cert8.db i key3.db od cert9.db i key4.db opartych na SQLite. Zapisz linię logu, którą widziałeś przed zawieszeniem, bo to jedyny trwały dowód, jaki masz.

Który profil klient rzeczywiście otwiera

Zidentyfikuj klienta, jego metodę uwierzytelniania i magazyn, który czyta. Istnieją tu trzy ścieżki logowania: wspomagana przez przeglądarkę, przeglądarka osadzona i klient natywny, i nie muszą dzielić profilu. Baza o właściwej nazwie w innym katalogu nie dowodzi, że otworzył ją zawieszony proces. W Linuxie magazyn NSS zwykle znajduje się pod ~/.pki/nssdb użytkownika lub w katalogu profilu danej aplikacji. Oba układy mogą współistnieć na jednej maszynie, więc sprawdź oba, jeśli migracja jest niedawna.

Zanim go zmienisz, wypisz, co zawiera magazyn: certutil -L -d sql:$HOME/.pki/nssdb wypisuje certyfikaty, a to samo narzędzie z -K pokazuje, czy są klucze.

Jeśli polecenie zgłasza, że nie można otworzyć bazy, znalazłeś profil używany przez narzędzie, ale niekoniecznie ten, którego używał VPN.

Zrób kopię zapasową profilu przed każdą naprawą

Zamknij dotknięte aplikacje, a następnie skopiuj cały katalog profilu zatwierdzoną metodą tworzenia kopii. Bazy certyfikatów i kluczy to stan powiązany, ale odrębny, a zapisanie jednego dowolnego pliku nie jest planem odzyskania całej tożsamości. Chroń kopię, bo profil może zawierać klucze prywatne. Zapisz, co i gdzie zarchiwizowałeś, aby nieudana naprawa miała drogę powrotu.

Potem potwierdź dokładny zakres naprawy z opiekunem. Pełny reset magazynu, usunięcie jednego znanego przestarzałego certyfikatu i naprawa profilu przeglądarki to trzy różne zmiany o trzech różnych ryzykach.

Po naprawie zaloguj się i sprawdź magazyn

Po autoryzowanej naprawie zaloguj się do VPN i potwierdź, że certyfikat serwera nadal jest weryfikowany zgodnie z zamiarem. Sprawdź, czy tożsamości potrzebne w procesie nadal istnieją i czy nie pojawiła się nieoczekiwana kotwica zaufania. Naprawa, która sprawia, że połączenie działa dzięki większemu zaufaniu niż wcześniej, nie jest naprawą.

Trzymaj obserwację i instrukcję osobno: jedno usunięcie i jedno udane uruchomienie to nie ogólne rozwiązanie.

Jeśli zawieszenie wróci, zapisz log klienta i używany profil, zanim zmienisz cokolwiek innego. To właśnie ten zapis zamienia domysł w diagnozę.