> Насчет 29 разработчиков - это ошибка перевода (или же самих release notes).
> Разработчиков у pkg сейчас двое - это я и bapt. Про
> SAT - это также ошибка сообщения о релизе и надмозга, для
> полного представления, что и как делалось, советую ознакомиться с моей презентацией
> на BSDCAN: https://github.com/vstakhov/pkgng-presentation. Там же есть планы на pkg 1.4:
> https://github.com/vstakhov/pkgng-presentation/blob/master/p...

Ага, спасибо. Остальное, вроде, я ещё помню с прошлогодней яндексовской конференции, мы тогда до-олго дискутировали... ;)

> Про sandboxes ответ прост: ряд операций, например, распаковка файла, полученного из репозитория,
> может быть потенциально небезопасной. Поэтому до проверки сигнатуры все такие операции
> изолируются.

Вот тут не совсем понятно. Распаковка небезопасна при наличии проблем в алгоритме распаковки или его реализации - вы от этого защищаетесь? В остальном, худшее, что может сделать атакующий - впихнуть содержимое /dev/null в пакет и забить им ненадолго какой-нибудь раздел. Да и это сработает лишь если вы распаковываете "на лету".

С другой стороны, такая песочница сильно замедлит конечные макрооперации с пакетами, так как надо будет перемещать данные из песочницы в, скорее всего, другую ФС... если, конечно, я не упустил что-то из виду.

> P.S. извиняюсь за убогое квотирование исходного сообщения, но я не понял, как
> тут делать правильно.

Как обычно, ">" в начале строки. :)