base-system: ca-certificates construye — 119 raíces TLS (HTTPS valida)

b3:c5a52051. Un solo cambio: [deps] build=[openssl]. La premisa era falsa: c_rehash es un binario
C (no el script perl) que sólo faltaba -lcrypto; perl SÍ está en la dev-fs (mk-ca-bundle.pl corre).
ca-certificates.crt con 119 certs + update-ca-certificates. Sin esto curl/wget HTTPS no validan.

recipes/incoming-clib/ca-certificates.toml

@@ -16,6 +16,12 @@ target   = "x86_64-linux-musl"
 link     = "static"
 flags    = []
 
+# openssl aporta libcrypto.a al overlay del sandbox (/usr/lib) para enlazar c_rehash
+# (`-lcrypto`). El resto del build (mk-ca-bundle.pl → cert.pem → split-ca-bundle.sh) usa
+# el perl + coreutils del rootfs; no requiere el CLI de openssl.
+[deps]
+build = ["openssl"]
+
 [build.phases]
 # de build() de Alpine (traducido; el lab provee $CBUILD/$CHOST — Etapa G Fase 3; revisá --shared para estático):
 compile = '''