On Sat, Dec 23, 2017 at 02:58:55AM +0300, Dmitry V. Levin wrote:
> В таком случае альтернатива на libnssckbi.so -- это то, что надо.
> Но что это за причины?

1. Для проверки работоспособности libnss хочется иметь возможность отключить
сторонний p11-kit-trust.so. У меня нет уверенности в этом модуле.

2. Мне очень хотелось бы иметь возможность использовать CA поддерживаемые
Mozilla.

> И почему libnssckbi.so находится непосредственно в %_libdir?

Спек был взят из RH и они паковали его в %_libdir. Даже когда они перешли
на альтернативы для libnssckbi.so, то тоже паковали её именно в libdir:

http://pkgs.fedoraproject.org/rpms/nss/c/61169569b13845986b3aeed3cfc3a3012a4427f3?branch=master

-- 
Rgrds, legion