M01 · Core & Foundation

Il cuore di D-COS NEXUS: avvia il sistema, controlla le licenze e protegge tutti gli altri moduli.

Vantaggi: Un unico centro di fiducia: nessun modulo può aggirare i controlli di licenza, permessi e supervisione.

Esempio d'uso: All'avvio il nucleo legge la licenza, abilita solo i moduli coperti e mantiene bloccati gli altri.

Capacità principali

• Verifica delle licenze e sblocco dei moduli
• Archivio della conoscenza, decisioni, azioni e workflow
• Supervisione umana firmata delle azioni sensibili
• Protezione delle chiavi, delle identità dei clienti e del bus interno degli eventi
• Archiviazione cifrata dei dati personali (cassaforte)
• MCHP: identità dei nodi, autenticazione reciproca e anti-replay tra i nodi

Il nucleo dell'eseguibile unico e l'unica Root of Trust. Contiene il registro dei contratti e la pipeline invoke() (permessi, policy Zero-Trust, validazione dello schema, timeout, controllo dell'output, registro delle operazioni), i contratti di base conoscenza, decisioni, azioni, workflow, supervisione e router_esecutivo, e il livello di fiducia m01_fiducia: pinning delle trust anchor pubbliche, Bus Controller mediato, identità e contesto dei clienti. Il Crypto Kernel di M01 è l'unico punto che utilizza le primitive crittografiche (SHA-256, HMAC, Ed25519, AES-256-GCM, Scrypt, HKDF). Qui risiedono anche la verifica delle licenze (Ed25519), la cassaforte cifrata (AES-256-GCM) e la supervisione umana firmata. Dal 2026-11-12 la verifica delle licenze applica anche il vincolo hardware di M35 (V_H stabile e prova di possesso TPM) per le licenze di versione 2. MCHP 1.0.0 (contratto m01_mchp): identità Ed25519 dei nodi con chiavi pubbliche fissate (pinning immutabile, revoca definitiva, sostituzione firmata dalla chiave vecchia e dalla nuova), handshake di autenticazione reciproca, buste firmate con integrità SHA-256, nonce, timestamp e identificativo di transazione, anti-replay persistente e atomico, Receive != Authorize (permessi espliciti per nodo, negati per impostazione predefinita) ed esecuzione solo tramite invoke() con tutti i suoi controlli; audit nella catena forense centrale (fail-secure). M01 non detiene chiavi private: il nodo locale firma con l'identità del dispositivo.

Prerequisiti

Nessuno: sempre attivo.

Limiti dichiarati

La Root of Trust sovrana non è implementata. I messaggi MCHP sono autenticati e protetti nell'integrità ma non cifrati, e MCHP non è stato collaudato tra macchine distinte. Il vincolo hardware si applica solo alle licenze di versione 2 che lo dichiarano (le licenze di versione 1 già emesse restano valide senza vincolo). Un controllo eseguito sul PC del cliente può essere rimosso da chiunque modifichi l'eseguibile.

Pianificato (roadmap)

• Root of Trust sovrana (rinviata alla release dell'eseguibile)
• Policy di vincolo hardware a livello di profilo (opzione B adottata il 2026-11-12): vincolo obbligatorio per i profili che lo dichiarano, ogni esito registrato — progettata, non implementata
• Blocco attivo in caso di sostituzione delle chiavi di licenza (oggi rilevata e segnalata)
• Migrazione dello stack P2P/mesh e del materiale TLS locale al Crypto Kernel

Interconnessioni

Le interconnessioni mostrate sono relazioni funzionali documentate (riuso di codice e flussi di dati) o derivate dal ruolo architetturale; sono una ricostruzione editoriale.