feat: живой цикл M2M с НРД + мастер установки ключа на флешку

Инфраструктура M2M (живой обмен с НРД через ИШ):
- обработка M2MTransferResponse: ERROR(M2Mxx) → заявка Отклонена, сохранение
  ответа; INFO → ждём Decision; идемпотентность поллера
- fallback-корреляция ответов с нулевым GUID (M2M14/M2M17) по FIFO
- сырой XML ответа НРД в карточке заявки (для пересылки в ТП)
- тестовый пакет роботу приведён к эталону m2m_robot_samples (CostInfo=Yes,
  4 бумаги, IsolationStatus, DocumentSeries=сценарий); override паспорта
- редирект из теста сразу в карточку заявки

Мастер установки ключа Валидаты на флешку (admin/setup/keywizard):
- пошаговый: загрузка .7z+пароль → выбор флешки → запись → справочник
  сертификатов (CRL) → перезапуск+проверка ИШ → готово
- привилегированный воркер (bj-keymedia) в host-namespace через файл-обмен,
  bj-server остаётся в песочнице
- сохранение структуры профиля архива (spr<N>), перечисление съёмных USB

Прочее:
- пакет-доказательство для ТП НРД + форма регистрации участника M2M
- эталонные образцы робота (DOC/m2m_robot_samples)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

internal/m2m/messages.go

@@ -725,8 +725,12 @@ func (m M2MTransferDecision) Validate() error {
 // GUID/StatusCode/Response объявлены локально в M2MTransferResponse.xsd
 // (elementFormDefault="qualified") — namespace элементов response, не
 // types, хотя их типы из types.
+// XMLName без namespace: реальный НРД-ответ присылает корневой
+// M2MTransferResponse БЕЗ namespace на root (дочерние qualified в response
+// ns через префикс ns3). Матчим root по локальному имени — толерантно к
+// тому, объявлен ли default namespace на корне.
 type M2MTransferResponse struct {
-	XMLName    xml.Name   `xml:"http://nsd.ru/schemas/m2m/response M2MTransferResponse"`
+	XMLName    xml.Name   `xml:"M2MTransferResponse"`
 	GUID       UUID       `xml:"http://nsd.ru/schemas/m2m/response GUID"`
 	StatusCode StatusCode `xml:"http://nsd.ru/schemas/m2m/response StatusCode"`
 	Responses  []Response `xml:"http://nsd.ru/schemas/m2m/response Response"`