там даже python'а нету

Не знаю что такое dehydrated. Если там можно обновлять, может и получить можно? Это одно и то же. Если не порты то есть пакеты, ну или можно acme.sh посмотреть, может там один sh файл

вот

Не уверен только что он не захочет wget вместо fetch

а acme-client из OpenBSD кто-нибудь использует?

1. Корень в ro поддерживается из коробки, тогда tmp и var в памяти автоматом создаются.
2. Уже ответили - можно сделать на уровне пользователей. Есть ещё ugidfw, не смотрел что это. Чисто отключить сеть приложению - можно запустить jail с корнем в / и им заблокировать сеть. Ещё в poudriere-devel я что-то видел про блокировку сети во время сборки, может там какой-то ещё способ используется. Можно написать обертку которая capsicum’ом запрещает сеть и делает exec как вариант. Может готовая есть. А так-то я не представляю зачем это - мы живём в мире открытых исходников, если есть сомнения - загляни и посмотри куда оно лазиет. По желанию выпили. А проприетарщины под FreeBSD почти и нет.
5. Вообще он же фирефокс и должен быть с исходниками, можно порт сделать взяв порт ff за основу, почему-то никто еще не заморочился

1. Картинка постепенно проясняется.
По исходникам, смотря что, не все могу сделать. Но всегда можно заблокировать адреса, это да, без проблем. На лине иногда юзаю блобы в вине, так никуда не ходят. Или если проприетарку запустить. Есть еще случаи. Как раз сейчас такое время наступило, что опенсорс делает что хочет, пилить и пилить. (Андроид тоже опенсорс😁). Лис наглый стал. Говорят с 94 мозила реализовала, что если прокси не пущает, то лис будет стучаться домой в обход прокси. Пока не знаю и до 94 именно огнелиса пока не дошел (юзаю abrowser 94 на лине, нагло выдернутый из одного дистрибутива и засунутый в другой)
5. Оно, конечно, можно все в тор пустить, тут выше и предлагали, но то не то. Отпечаток не такой, как у торбраузера. Я не знаю, может он, виндозный на вине работает? Надо будет попробовать.

посмотрите waterfox/ff-esr

Пока не встречал опенсорса который делает что-то левое. Ну, кроме браузеров. Хотя да, телеметрия в audacity и вот это всё..
А если вы беспокоитесь об отпечатках, то учитывайте что у FreeBSDшного стека уже свой отпечаток, так что вас как одного из очень немногих пользователей под FreeBSD, идентифицировать можно без проблем.

упс...получается без вариантов,  только виртуалка решка/хуникс

По всей видимости да. И TTL не забыть на 1 увеличить)

У аудасити телеметрия выключена по умолчанию на уровне препроцессора

А что за отпечаток?

Под нажимом общественности так сделали?

Не помню, вроде изначально так и было, я вообще не понял, от чего истерики

Меня новый апстрим аудасити радует, стали дружелюбны к линуксу (и, соответственно, bsd тоже)

Ну всякие там параметры IP пакетов - заголовки, опции, я не помню конкретики. nmap и pf по ним определяют систему.

Понятно. Ну это решаемо должно быть.

Что-то можно sysctl'ями настроить, но почти наверняка не всё. И в любом случае с т.з. прайваси это стремно, никаких гарантий что что-то не забыл и засветился.

Если так то приятно.