> а гугелю, конечно, надо доверять «по умолчанию», просто потому, что это гугель.
> ага. щаз.

Что мешает подменить пакет установщика на версию с подменёнными сертификатами вообще?

По-моему в плане безопасности не хватает p2p. Было бы неплохо проверять сертификаты и т.п. через системы типа торрентов. Спрашиваем соседей насчёт сертификата, и, в случае подмены, это сразу выяснится. Идей можно много реализовать, были бы желающие.