cert8.db nie je jednorazová vyrovnávacia pamäť: skontrolujte vlastníka úložiska

Staré vlákno podpory radí zmazať súbor cert8.db a VPN začne znova fungovať. Takýto sled je častejšie náhoda ako oprava. Súbor je databáza certifikátov a jeho odstránenie mení trvalý bezpečnostný stav spôsobom, ktorý úspešné spustenie neodhalí.

Zamrznuté prihlásenie nie je problém vyrovnávacej pamäte

Vyrovnávacia pamäť prehliadača ukladá kópie zdrojov; databáza certifikátov ukladá rozhodnutia o dôvere, certifikáty a kľúče, ktoré k nim patria. Zmazať druhú je bližšie k resetovaniu identity než k čisteniu histórie. Ak klient počas prihlasovania zamrzol, užitočným dôkazom je, ktorý proces otvoril ktorý profil a čo zalogoval, nie to, ktorý súbor odstránil príspevok na fóre. Zopakovať zamrznutie a prečítať log klienta trvá dlhšie ako zmazať súbor a je to jediná cesta k skutočnej príčine.

Názov súboru nesie aj históriu: NSS rozlišuje staré cert8.db a key3.db od cert9.db a key4.db na SQLite. Zapíšte riadok logu, ktorý ste videli pred zamrznutím, pretože je to jediný trvalý dôkaz, ktorý máte.

Ktorý profil klient skutočne otvára

Určte klienta, spôsob overovania a úložisko, ktoré číta. Existujú tu tri cesty prihlásenia: s pomocou prehliadača, vstavaný prehliadač a natívny klient, a nemusia zdieľať profil. Databáza so správnym názvom v inom adresári nie je dôkazom, že ju zamrznutý proces otvoril. V Linuxe úložisko NSS zvyčajne leží pod ~/.pki/nssdb používateľa alebo v adresári profilu aplikácie. Obe usporiadania môžu existovať na jednom stroji, preto skontrolujte obe, ak je migrácia nedávna.

Pred zmenou vypíšte, čo úložisko obsahuje: certutil -L -d sql:$HOME/.pki/nssdb vypíše certifikáty a ten istý nástroj s -K ukáže, či sú prítomné kľúče.

Ak príkaz hlási, že databázu nemožno otvoriť, našli ste profil, ktorý používa nástroj, ale nie nutne ten, ktorý používala VPN.

Pred akoukoľvek opravou zálohujte profil

Zatvorte postihnuté aplikácie a potom skopírujte celý adresár profilu schváleným spôsobom zálohovania. Databázy certifikátov a kľúčov sú súvisiaci, ale odlišný stav, a uloženie jedného ľubovoľného súboru nie je plán obnovy celej identity. Chráňte kópiu, pretože profil môže obsahovať súkromné kľúče. Zapíšte, čo a kam ste zálohovali, aby neúspešná oprava mala cestu späť.

Potom potvrďte presný rozsah opravy so správcom. Úplný reset úložiska, odstránenie jedného známeho zastaraného certifikátu a oprava profilu prehliadača sú tri rôzne zmeny s tromi rôznymi rizikami.

Po oprave sa prihláste a úložisko prehliadnite

Po schválenej oprave sa prihláste do VPN a potvrďte, že certifikát servera sa stále overuje podľa zámeru. Skontrolujte, či identity potrebné pre postup sú stále prítomné a či sa neobjavila neočakávaná kotva dôvery. Oprava, ktorá spojenie sprevádzkuje tým, že dôveruje viac ako predtým, nie je oprava.

Držte pozorovanie a pokyn oddelene: jedno zmazanie a jedno úspešné spustenie nie je všeobecné riešenie.

Ak sa zamrznutie vráti, zachyťte log klienta a používaný profil, skôr než zmeníte čokoľvek ďalšie. Práve tento záznam mení odhad na diagnózu.