M01 · Core & Foundation

Das Herz von D-COS NEXUS: Es startet das System, prüft Lizenzen und schützt alle anderen Module.

Vorteile: Ein vertrauenswürdiges Zentrum: Kein Modul kann die Lizenz-, Berechtigungs- und Supervisionsprüfungen umgehen.

Anwendungsbeispiel: Beim Start liest der Kern die Lizenz, aktiviert nur die lizenzierten Module und hält die übrigen gesperrt.

Zentrale Fähigkeiten

• Lizenzverifizierung und Freischaltung von Modulen
• Wissensspeicher, Entscheidungen, Aktionen und Workflows
• Signierte menschliche Supervision sensibler Aktionen
• Schutz von Schlüsseln, Kundenidentitäten und dem internen Ereignisbus
• Verschlüsselte Speicherung personenbezogener Daten (Tresor)
• MCHP: Knotenidentität, gegenseitige Authentifizierung und Anti-Replay zwischen Knoten

Der Kern der einzigen ausführbaren Datei und die einzige Root of Trust. Er enthält die Vertrags-Registry und die invoke()-Pipeline (Berechtigungen, Zero-Trust-Richtlinie, Schemavalidierung, Timeout, Ausgabeprüfung, Operationsprotokoll), die Basisverträge conoscenza, decisioni, azioni, workflow, supervisione und router_esecutivo sowie die Vertrauensschicht m01_fiducia: Pinning öffentlicher Vertrauensanker, der vermittelte Bus Controller, Kundenidentitäten und Kontext. Der M01 Crypto Kernel ist die einzige Stelle, die kryptografische Primitive berührt (SHA-256, HMAC, Ed25519, AES-256-GCM, Scrypt, HKDF). Auch die Lizenzverifizierung (Ed25519), der verschlüsselte Tresor (AES-256-GCM) und die signierte menschliche Supervision befinden sich hier. Seit dem 2026-11-12 setzt die Lizenzverifizierung für Lizenzen der Version 2 zudem die Hardwarebindung von M35 durch (stabiler V_H und TPM-Besitznachweis). MCHP 1.0.0 (Vertrag m01_mchp): Ed25519-Knotenidentitäten mit fixierten öffentlichen Schlüsseln (unveränderliches Pinning, endgültiger Widerruf, Ersetzung signiert vom alten und vom neuen Schlüssel), Handshake zur gegenseitigen Authentifizierung, signierte Umschläge mit SHA-256-Integrität, Nonce, Zeitstempel und Transaktionskennung, persistentes atomares Anti-Replay, Receive != Authorize (explizite Freigaben pro Knoten, standardmäßig verweigert) und Ausführung nur über invoke() mit allen Prüfungen; Audit in der zentralen forensischen Kette (fail-secure). M01 hält keinen privaten Schlüssel: Der lokale Knoten signiert mit der Geräteidentität.

Voraussetzungen

Keine: immer aktiv.

Deklarierte Einschränkungen

Die souveräne Root of Trust ist nicht implementiert. MCHP-Nachrichten sind authentifiziert und integritätsgeschützt, aber nicht verschlüsselt, und MCHP wurde nicht zwischen getrennten Rechnern getestet. Die Hardwarebindung gilt nur für Lizenzen der Version 2, die sie deklarieren (bereits ausgestellte Lizenzen der Version 1 bleiben ohne Bindung gültig). Eine Prüfung, die auf dem PC des Kunden läuft, kann von jedem entfernt werden, der die ausführbare Datei patcht.

Geplant (Roadmap)

• Souveräne Root of Trust (auf das Release der ausführbaren Datei verschoben)
• Hardwarebindungsrichtlinie auf Profilebene (Option B am 2026-11-12 angenommen): Bindung verpflichtend für die Profile, die sie deklarieren, jedes Ergebnis wird aufgezeichnet — entworfen, nicht implementiert
• Aktive Sperrung beim Austausch von Lizenzschlüsseln (heute erkannt und gemeldet)
• Migration des P2P-/Mesh-Stacks und des lokalen TLS-Materials in den Crypto Kernel

Vernetzungen

Die gezeigten Vernetzungen sind dokumentierte funktionale Beziehungen (Wiederverwendung von Code und Datenflüsse) oder ergeben sich aus der architektonischen Rolle; sie sind eine redaktionelle Rekonstruktion.