<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div class="im"><span style="color:rgb(34,34,34)">We can involve people in security reviews without having them on the</span><br>

</div>
core review team.  They are separate concerns.<br></blockquote><div><br></div><div>Yes, but those people can't ultimately approve the patch.  So you'd need to have a security reviewer do their review, and then someone who isn't a security person be able to offer the +1/+2 based on the opinion of the security reviewer.  This doesn't make any sense to me.  You're involving an extra person needlessly, and creating extra work.</div>

<div><br></div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">This has been discussed quite a bit.  We can't handle security patches<br>
on gerrit right now while they are embargoed because we can't completely<br>
hide them.<br></blockquote><div><br></div><div>I think that you're confusing security reviews of new code changes with reviews of fixes to security problems.  In this part of my email, I'm talking about the former.  These are not embargoed.  They are just the everyday improvements to the system.  That is the best time to identify and gate on security issues.  Without someone on core that can give a -2 when there's a problem, this will basically never happen.  Then we'll be back to fixing a greater number of things as bugs.</div>

<div><br></div><div>-bryan</div></div></div></div>