feat: aggiungi contratti lifecycle di update e rollback

[high-cde]

Sintesi

Questa pull request definisce i contratti di lifecycle per aggiornamenti, rollback A/B, chiave del repository e integrità dm-verity. L'obiettivo è rendere esplicite le precondizioni operative prima di implementare un client di aggiornamento o un meccanismo di boot atomico.

Contenuto

Area	Contratto introdotto
Update	Canali stable e preview, versione minima, verifica firma obbligatoria e aggiornamenti offline
Rollback	Due slot A/B e rollback dopo tre tentativi di avvio non riusciti
Chiavi	Percorso pubblico predisposto per la chiave di firma del repository
Integrità rootfs	Percorso predisposto per il root hash pubblico dm-verity

Verifiche

• Il diff aggiunge esclusivamente policy e file pubblici dichiarativi;
• git diff --check;
• Nessuna chiave privata, token o configurazione runtime viene introdotta.

Limiti e follow-up

I file di chiave e root hash sono placeholder intenzionali e non costituiscono una trust root di produzione. Questa pull request non implementa il client di update, la verifica crittografica, le immagini A/B, dm-verity o il rollback al boot. Tali elementi richiedono materiali crittografici gestiti fuori dal repository, consumer testati e una procedura di rotazione delle chiavi.

Checklist

• Policy e limiti dichiarati senza segreti;
• Nessuna capacità di aggiornamento viene dichiarata come disponibile;
• Base pronta per una successiva implementazione verificabile.