M01 · Core & Foundation

Le cœur de D-COS NEXUS : il démarre le système, vérifie les licences et protège tous les autres modules.

Avantages: Un centre de confiance unique : aucun module ne peut contourner les contrôles de licence, de permissions et de supervision.

Exemple d'utilisation: Au démarrage, le cœur lit la licence, n'active que les modules sous licence et maintient les autres verrouillés.

Capacités clés

• Vérification des licences et déverrouillage des modules
• Base de connaissances, décisions, actions et workflows
• Supervision humaine signée des actions sensibles
• Protection des clés, des identités des clients et du bus d'événements interne
• Stockage chiffré des données personnelles (coffre-fort)
• MCHP : identité des nœuds, authentification mutuelle et anti-rejeu entre les nœuds

Le cœur de l'exécutable unique et l'unique racine de confiance. Il contient le registre des contrats et le pipeline invoke() (permissions, politique Zero-Trust, validation du schéma, délai maximal, contrôle des sorties, journal des opérations), les contrats de base conoscenza, decisioni, azioni, workflow, supervisione et router_esecutivo, ainsi que la couche de confiance m01_fiducia : épinglage des ancres de confiance publiques, Bus Controller médiatisé, identités et contexte des clients. Le Crypto Kernel de M01 est l'unique endroit qui manipule les primitives cryptographiques (SHA-256, HMAC, Ed25519, AES-256-GCM, Scrypt, HKDF). La vérification des licences (Ed25519), le coffre-fort chiffré (AES-256-GCM) et la supervision humaine signée s'y trouvent également. Depuis le 2026-11-12, la vérification des licences applique aussi la liaison matérielle M35 (V_H stable et preuve de possession TPM) pour les licences de version 2. MCHP 1.0.0 (contrat m01_mchp) : identités Ed25519 des nœuds avec clés publiques épinglées (épinglage immuable, révocation définitive, remplacement signé par l'ancienne et la nouvelle clé), poignée de main d'authentification mutuelle, enveloppes signées avec intégrité SHA-256, nonce, horodatage et identifiant de transaction, anti-rejeu persistant et atomique, Receive != Authorize (autorisations explicites par nœud, refusées par défaut) et exécution uniquement via invoke() avec tous ses contrôles ; audit dans la chaîne forensique centrale (fail-secure). M01 ne détient aucune clé privée : le nœud local signe avec l'identité de l'appareil.

Prérequis

Aucun : toujours actif.

Limites déclarées

La racine de confiance souveraine n'est pas implémentée. Les messages MCHP sont authentifiés et protégés en intégrité, mais pas chiffrés, et MCHP n'a pas été testé entre des machines distinctes. La liaison matérielle ne s'applique qu'aux licences de version 2 qui la déclarent (les licences de version 1 déjà émises restent valides sans liaison). Un contrôle exécuté sur le PC du client peut être supprimé par quiconque modifie l'exécutable.

Planifié (feuille de route)

• Racine de confiance souveraine (reportée à la release de l'exécutable)
• Politique de liaison matérielle au niveau des profils (option B adoptée le 2026-11-12) : liaison obligatoire pour les profils qui la déclarent, chaque résultat étant enregistré — conçue, non implémentée
• Blocage actif en cas de substitution des clés de licence (aujourd'hui détectée et signalée)
• Migration de la pile P2P/maillage et du matériel TLS local vers le Crypto Kernel

Interconnexions

Les interconnexions représentées sont des relations fonctionnelles documentées (réutilisation de code et flux de données) ou découlent du rôle architectural ; il s'agit d'une reconstruction éditoriale.