DNSCRYPT_REPLY_BOX_OFFSET
boxed = buf + DNSCRYPT_REPLY_BOX_OFFSET;
DNSCRYPT_REPLY_BOX_OFFSET - crypto_box_BOXZEROBYTES,