bk: фикс passkey по безопасности, без обратной совместимости

[bkeenke]

Не получилось сделать обратно совместимым, всем кто имеет зарегистрированный passkey нужно будет перерегистрировать его

Что сделано:

1. Регистрация (api_register_complete) — теперь парсит attestationObject (CBOR), проверяет rpIdHash внутри authenticatorData против ожидаемого RP ID, извлекает реальный COSE-открытый ключ (EC2/P-256) и сохраняет его в структурированном виде (hex x/y), а не сырой блоб.
2. Аутентификация (api_auth_public) — теперь требует authenticatorData и signature (фронтенд их уже отправлял, бэкенд просто игнорировал), проверяет флаг user present, сверяет rpIdHash, и криптографически проверяет ECDSA-подпись над authenticatorData || SHA256(clientDataJSON) реальным сохранённым публичным ключом через Crypt::PK::ECC.
3. Записи без корректного публичного ключа (все существующие до фикса) — надёжно отклоняются, а не молча пропускаются.