[P1] Remote wipe e certificado de cliente por aparelho (R3) #81

Origem: item #7 (P1) do backlog da auditoria do PRD em docs/auditoria-prd/2026-10-15-lacunas-prd.md (PR #74).

Lacuna: Remote wipe e certificado de cliente por aparelho

Tipo: código + infra. Por que esta prioridade: Risco de impacto 5; depende de login de supervisor e de PKI de produção.

Evidência e o que falta, por ID

• R3 (parcial): Limpeza do aparelho pelo próprio ACS (apps/acs/lib/app/app.dart:174, device_wipe_test.dart); chave do SQLCipher no Keystore. — falta: Remote wipe pela API (não existe login de supervisor para dispará-lo); rotação de chave.
• STRIDE-S (parcial): Broker com senha + ACL por tópico + certificado de cliente obrigatório (infra/docker/mosquitto/mosquitto.conf:10); scripts/qa/mtls_invariants.sh OK (2026-10-15). — falta: Certificado de cliente por aparelho em produção (hoje um certificado de dev compartilhado, acs-area-12.crt).
• CRIPTO-APP-CACHE (ausente): A mesma chave do SQLCipher é usada por toda a vida da instalação; nenhuma rotação. — falta: Rotação da chave do cache (mudança de dispositivo) ou decisão registrada de não rotacionar.

Medido em 2026-10-15 a partir de develop em 92106d1.