Add dev server for local testing

dev.ts spins up everything needed on macOS:
- Serves ../ui/ as static files
- Mocks /auth/me and /auth/auth (bypasses PAM)
- Mocks dock on :7701 by reading ../apps/*/crimata.json directly
- Runs the real agent WebSocket + /events on :7702

Usage: ANTHROPIC_API_KEY=sk-... npm run dev

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

Add crimata-agent and redesign agentic OS UI

- crimata-agent (TypeScript, port 7702): WebSocket server + HTTP /events
  endpoint, Claude tool-use loop (render/remove/call_api/show_cursor_response),
  session.start fires on first browser connection to seed the canvas
- OS UI redesigned: light grey canvas (#e8e8e8), no dock bar, cursor dot,
  Cmd+Space input bubble above cursor, elements placed by agent
- Canvas elements: app_icon (floating icons with running dot), window (no-chrome
  content cards), cursor_response (text + action pills)
- Component system: HTML fragments fetched from /components/{app}/{name}.html,
  inline scripts re-executed after injection
- contacts/crimata.json: added icon, defaultComponent, components[], api[]
- dock: apps.h/c/main.c extended to parse and serve components + api from
  crimata.json; BUF_SIZE increased for richer JSON output
- ui/components/contacts/list.html + card.html: first component pair
- provision.sh: installs crimata-agent, adds WebSocket + /events + /components
  nginx locations, fixes /auth/ prefix stripping

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

Add multi-user auth with sessions and login UI

- auth: POST /auth validates PAM, returns session token
- auth: GET /me validates Bearer token, returns username
- auth: POST /logout destroys session
- auth: POST /users creates Linux user via useradd+chpasswd
- session.c: in-memory token store (1024 slots, pthread mutex, /dev/urandom tokens)
- user.c: fork/exec useradd + chpasswd with username validation
- ui: login overlay shown until authenticated (x-cloak)
- ui: token persisted in sessionStorage, validated on page load
- ui: username displayed in dock after login
- ui: apps only load after successful auth

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

Wire UI dock to crimata-dock service

- Fetch installed apps from /dock/apps on init instead of hardcoded list
- Refresh running status every 10s
- Map dock response to app format (add url: /apps/{id})
- Show running indicator dot on active apps in dock

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

Add dock service, provision README, MIT License

- crimata-dock: C daemon (libmicrohttpd + libsystemd) on port 7701
  - GET /apps: lists installed apps with live running status from systemd
  - POST /apps/{id}/start|stop: controls crimata-*.service units
- Add README with install paths and port map
- Add MIT License

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

Initial commit

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>