scratch 是空镜像，体积最小，但也什么都不带：发 HTTPS 请求没有根证书、取本地时间拿不到时区，本文给出补证书和拷贝时区文件的解决办法。

从根证书开始，为设备端和服务端分别签发证书，在服务端开启客户端证书校验，实现双向认证的完整步骤与验证方法。

用 openssl 一步步搭一个私有 CA：生成 CA 私钥和根证书、为服务签发证书、配置 SAN 扩展，以及在客户端信任这个自签 CA。

常见证书格式的用途、openssl 在各种格式之间转换的命令，以及生成自签证书、查看证书内容和有效期的常用操作。

密码登录要记密码，密钥登录要到处分发公钥，人会变动就更麻烦。SSH 证书登录用一台 CA 统一签发，服务器只信任 CA。本文给出从生成 CA 到签发服务器证书、用户证书、废除证书的完整命令。