feat: живой цикл M2M с НРД + мастер установки ключа на флешку

Инфраструктура M2M (живой обмен с НРД через ИШ):
- обработка M2MTransferResponse: ERROR(M2Mxx) → заявка Отклонена, сохранение
  ответа; INFO → ждём Decision; идемпотентность поллера
- fallback-корреляция ответов с нулевым GUID (M2M14/M2M17) по FIFO
- сырой XML ответа НРД в карточке заявки (для пересылки в ТП)
- тестовый пакет роботу приведён к эталону m2m_robot_samples (CostInfo=Yes,
  4 бумаги, IsolationStatus, DocumentSeries=сценарий); override паспорта
- редирект из теста сразу в карточку заявки

Мастер установки ключа Валидаты на флешку (admin/setup/keywizard):
- пошаговый: загрузка .7z+пароль → выбор флешки → запись → справочник
  сертификатов (CRL) → перезапуск+проверка ИШ → готово
- привилегированный воркер (bj-keymedia) в host-namespace через файл-обмен,
  bj-server остаётся в песочнице
- сохранение структуры профиля архива (spr<N>), перечисление съёмных USB

Прочее:
- пакет-доказательство для ТП НРД + форма регистрации участника M2M
- эталонные образцы робота (DOC/m2m_robot_samples)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

services/crypto-service/proto/crypto.proto

@@ -19,6 +19,41 @@ service CryptoService {
 
   // Health-check.
   rpc Health(HealthRequest) returns (HealthResponse);
+
+  // Activate — переинициализирует провайдер Валидаты на указанный
+  // профиль из pki1.conf. Если profile пуст — переходит в
+  // VCERT_InitMinimal (без доступа к ПСП/ЛСП/ССС). Не требует
+  // перезапуска сайдкара.
+  rpc Activate(ActivateRequest) returns (ActivateResponse);
+
+  // Shutdown — корректно завершает процесс сайдкара (System.exit(2)
+  // после отправки ответа). systemd с Restart=on-failure поднимет
+  // его снова через RestartSec секунд. Используется для UI-кнопки
+  // «Перезапустить crypto-service» без sudo.
+  rpc Shutdown(ShutdownRequest) returns (ShutdownResponse);
+}
+
+message ActivateRequest {
+  // Имя профиля в pki1.conf. Пустая строка = minimal mode.
+  string profile = 1;
+}
+
+message ActivateResponse {
+  // true если провайдер успешно (пере)инициализирован.
+  bool ok = 1;
+  // Имя активного провайдера ("validata" / "stub").
+  string provider = 2;
+  // Имя активного профиля (пусто для minimal).
+  string profile = 3;
+  // Сообщение о результате (для UI).
+  string message = 4;
+}
+
+message ShutdownRequest {}
+
+message ShutdownResponse {
+  // true означает «запрос принят, процесс завершится через ~500ms».
+  bool ok = 1;
 }
 
 message VerifyRequest {