DEV_OPEN の直接呼出しによる /dev 権限検査の迂回を閉じる #88

背景: 現行 API v1 ではデバイスサービスが DEV_OPEN の呼出し元を検証できず、svc_lookup("dev.") で /dev の mode 検査を迂回できることが仕様に明記されている。

根拠: doc/spec_Foundation_API.md §4.2・§9・§14、doc/spec_Foundation.md §6・§8.6・§9.1。

作業と受け入れ条件:

• fs だけに渡す信頼された CHANNEL/ケーパビリティの発行と検証方法を仕様化する。クライアントが指定する badge 等を本人確認に使わない。
• init/fs/device の配線と DEV_OPEN を更新し、一般アプリの直接 lookup/呼出しは拒否する。
• 正規 fs 経由の READ/WRITE と /dev mode 検査は維持し、ハンドル dup/移動/終了でも権限を増やさない。
• 直接呼出し、権限不足、偽装、サービス終了・再起動をテストする。

先行: KAN-15。UID 資格情報の課題と ABI 方針を調整する。

移行元: KAN-30（Jira 状態: To Do (機能)）