cert8.db — не одноразовий кеш: перевірте власника сховища

Стара тема підтримки радить видалити файл із назвою cert8.db, і VPN знову працює. Така послідовність частіше збіг, ніж виправлення. Файл — це база сертифікатів, і його видалення змінює постійний стан безпеки так, чого успішний запуск не показує.

Завислий вхід — це не проблема кешу

Кеш браузера зберігає копії ресурсів; база сертифікатів зберігає рішення про довіру, сертифікати та пов’язані з ними ключі. Видалити друге ближче до скидання ідентичності, ніж до очищення історії. Якщо клієнт завис під час входу, корисний доказ — який процес відкрив який профіль і що записав у журнал, а не який файл видалив допис на форумі. Відтворити зависання й прочитати журнал клієнта довше, ніж видалити файл, і це єдиний шлях до справжньої причини.

Назва файлу теж несе історію: NSS розрізняє старі cert8.db і key3.db та засновані на SQLite cert9.db і key4.db. Запишіть рядок журналу, який ви бачили перед зависанням, бо це єдиний тривкий доказ, який у вас є.

Який профіль клієнт насправді відкриває

Визначте клієнт, спосіб його автентифікації та сховище, яке він читає. Тут є три шляхи входу: за допомогою браузера, вбудований браузер і власний клієнт, і вони не зобов’язані ділити профіль. База з правильною назвою в іншому каталозі не доводить, що завислий процес відкрив саме її. У Linux сховище NSS зазвичай міститься в ~/.pki/nssdb користувача або в каталозі профілю застосунку. Обидві схеми можуть співіснувати на одній машині, тому перевірте обидві, якщо міграція нещодавня.

Перш ніж змінювати, перелічіть, що містить сховище: certutil -L -d sql:$HOME/.pki/nssdb друкує сертифікати, а той самий інструмент із -K показує, чи є ключі.

Якщо команда повідомляє, що базу не можна відкрити, ви знайшли профіль, який використовує інструмент, але не обов’язково той, який використовував VPN.

Зробіть резервну копію профілю перед будь-яким виправленням

Закрийте уражені застосунки, потім скопіюйте весь каталог профілю схваленим способом резервного копіювання. Бази сертифікатів і ключів — пов’язаний, але окремий стан, і збереження одного довільного файлу не є планом відновлення всієї ідентичності. Захистіть копію, бо профіль може містити приватні ключі. Запишіть, що і куди ви скопіювали, щоб невдале виправлення мало шлях назад.

Потім узгодьте точний обсяг виправлення з супровідником. Повне скидання сховища, видалення одного відомого застарілого сертифіката й виправлення профілю браузера — це три різні зміни з трьома різними ризиками.

Після виправлення увійдіть і огляньте сховище

Після дозволеного виправлення увійдіть у VPN і підтвердьте, що сертифікат сервера досі перевіряється як задумано. Перевірте, що потрібні робочому процесу ідентичності на місці й що не з’явився неочікуваний якір довіри. Виправлення, яке змушує з’єднання працювати через більшу довіру, ніж раніше, не є виправленням.

Тримайте спостереження й інструкцію окремо: одне видалення й один успішний запуск — не загальне рішення.

Якщо зависання повернеться, зафіксуйте журнал клієнта та використовуваний профіль, перш ніж змінювати щось інше. Саме цей запис перетворює здогад на діагноз.