cert8.db tek kullanımlık bir önbellek değildir: deponun sahibini denetleyin

Eski bir destek konusu cert8.db adlı dosyayı silmenizi söyler ve VPN yeniden çalışmaya başlar. Bu sıra bir onarımdan çok tesadüftür. Dosya bir sertifika veritabanıdır ve silinmesi kalıcı güvenlik durumunu başarılı bir başlatmanın göstermediği biçimde değiştirir.

Donmuş bir oturum açma önbellek sorunu değildir

Tarayıcı önbelleği kaynakların kopyalarını saklar; sertifika veritabanı ise güven kararlarını, sertifikaları ve onlara eşlik eden anahtarları saklar. İkincisini silmek geçmişi temizlemekten çok kimliği sıfırlamaya yakındır. İstemci oturum açma sırasında donduysa yararlı kanıt, hangi sürecin hangi profili açtığı ve neyi günlüğe yazdığıdır; bir forum iletisinin hangi dosyayı sildiği değil. Donmayı yeniden üretmek ve istemci günlüğünü okumak bir dosyayı silmekten uzun sürer ve gerçek nedene giden tek yol budur.

Dosya adı ayrıca geçmiş taşır: NSS eski cert8.db ve key3.db dosyalarını SQLite tabanlı cert9.db ve key4.db dosyalarından ayırır. Donmadan önce gördüğünüz günlük satırını yazın, çünkü elinizdeki tek kalıcı kanıt odur.

İstemci gerçekte hangi profili açıyor

İstemciyi, kimlik doğrulama yöntemini ve okuduğu depoyu belirleyin. Burada üç oturum açma yolu var: tarayıcı destekli, gömülü tarayıcı ve yerel istemci; aynı profili paylaşmak zorunda değiller. Başka bir dizinde doğru adlı bir veritabanı, donmuş sürecin onu açtığının kanıtı değildir. Linux’ta NSS deposu genellikle kullanıcının ~/.pki/nssdb altında veya uygulama başına profil dizininde bulunur. İki düzen aynı makinede birlikte var olabilir, bu yüzden geçiş yeniyse ikisini de denetleyin.

Değiştirmeden önce deponun ne içerdiğini listeleyin: certutil -L -d sql:$HOME/.pki/nssdb sertifikaları yazdırır ve aynı araç -K ile anahtarların olup olmadığını gösterir.

Komut veritabanının açılamadığını bildiriyorsa aracın kullandığı profili buldunuz, ama VPN’in kullandığı aynı olmayabilir.

Herhangi bir onarımdan önce profili yedekleyin

Etkilenen uygulamaları kapatın, ardından tüm profil dizinini onaylanmış yedekleme yöntemiyle kopyalayın. Sertifika ve anahtar veritabanları ilişkili ama ayrı durumdur ve tek bir gelişigüzel dosyayı saklamak tüm kimlik için bir kurtarma planı değildir. Kopyayı koruyun, çünkü profil özel anahtarlar içerebilir. Neyi nereye yedeklediğinizi kaydedin, böylece başarısız bir onarımın geri dönüş yolu olsun.

Ardından onarımın tam kapsamını bakımcıyla doğrulayın. Depoyu tamamen sıfırlamak, bilinen tek bir eski sertifikayı kaldırmak ve bir tarayıcı profilini onarmak üç farklı değişiklik ve üç farklı risktir.

Onarımdan sonra oturum açın ve depoyu inceleyin

Yetkili bir onarımdan sonra VPN’e giriş yapın ve sunucu sertifikasının hâlâ amaçlandığı gibi doğrulandığını teyit edin. İş akışının ihtiyaç duyduğu kimliklerin yerinde olduğunu ve beklenmeyen bir güven çıpası görünmediğini denetleyin. Bağlantıyı eskisinden daha fazla güvenerek çalıştıran onarım onarım değildir.

Gözlemi ve talimatı ayrı tutun: bir silme ve bir başarılı başlatma genel bir çözüm değildir.

Donma geri gelirse başka bir şeyi değiştirmeden önce istemci günlüğünü ve kullanılan profili yakalayın. O kayıt tahmini tanıya çeviren şeydir.