cert8.db није кеш за једнократну употребу: проверите власника складишта

Стара тема подршке саветује да избришете датотеку названу cert8.db и VPN поново почиње да ради. Тај редослед је чешће случајност него поправка. Датотека је база сертификата, а њено уклањање мења трајно безбедносно стање на начине које успешно покретање не открива.

Замрзнута пријава није проблем кеша

Кеш прегледача чува копије ресурса; база сертификата чува одлуке о поверењу, сертификате и кључеве који иду уз њих. Брисање друге је ближе ресетовању идентитета него чишћењу историје. Ако се клијент замрзнуо током пријаве, корисни доказ је који је процес отворио који профил и шта је забележио, а не коју је датотеку уклонила објава на форуму. Понављање замрзавања и читање дневника клијента траје дуже од брисања датотеке и једини је пут до стварног узрока.

Назив датотеке носи и историју: NSS разликује старе cert8.db и key3.db од SQLite cert9.db и key4.db. Запишите линију дневника коју сте видели пре замрзавања, јер је то једини трајни доказ који имате.

Који профил клијент заиста отвара

Утврдите клијента, његову методу аутентификације и складиште које чита. Овде постоје три пута пријаве: уз помоћ прегледача, уграђени прегледач и изворни клијент, и не морају да деле профил. База са исправним именом у другом директоријуму није доказ да ју је замрзнути процес отворио. На Linux-у се NSS складиште обично налази под ~/.pki/nssdb корисника или у директоријуму профила по апликацији. Оба распореда могу постојати на истој машини, па проверите оба ако је миграција недавна.

Попис што складиште садржи пре него што га промените: certutil -L -d sql:$HOME/.pki/nssdb исписује сертификате, а исти алат са -K показује да ли има кључева.

Ако наредба пријави да се база не може отворити, пронашли сте профил који алат користи, али не нужно онај који је користио VPN.

Направите резервну копију профила пре сваке поправке

Затворите погођене апликације, затим копирајте цео директоријум профила одобреним методом резервне копије. Базе сертификата и кључева су повезано, али одвојено стање, а чување једне произвољне датотеке није план опоравка целог идентитета. Заштитите копију, јер профил може садржати приватне кључеве. Запишите шта и где сте копирали, да би неуспешна поправка имала пут назад.

Затим потврдите тачан обим поправке са одржаваоцем. Потпуно ресетовање складишта, уклањање једног познатог застарелог сертификата и поправка профила прегледача три су различите промене са три различита ризика.

Након поправке, пријавите се и прегледајте складиште

Након одобрене поправке, пријавите се на VPN и потврдите да се сертификат сервера још валидира како је предвиђено. Проверите да су идентитети потребни радном току још присутни и да се није појавило неочекивано сидро поверења. Поправка која оспособи везу тако што верује више него пре није поправка.

Држите запажање и упутство одвојено: једно брисање и једно успешно покретање није опште решење.

Ако се замрзавање врати, забележите дневник клијента и профил у употреби пре него што промените било шта друго. Тај запис претвара нагађање у дијагнозу.