Почему APT не использует HTTPS

https://whydoesaptnotusehttps.com/
Отличная статья коротко и по существу отвечающая всяким болванам
задающим вопрос "почему вы не используете HTTPS, ведь это же секьюрно",
не обращая внимания на то, что пакеты подписываются OpenPGP.

Именно по тем же самым причинам (так получилось что они совпали) и я
свой софт распространяю в первую очередь с моими подписями (ну да,
вопрос как их получить остаётся, но и с CA/PKI/HTTPS он никуда не
девается) без всякого HTTPS.

* По размерам файлов/сессий, домену -- не сложно догадаться что
  конкретно вы скачиваете. Чуть сложнее чем без HTTPS бы было
* HTTPS обеспечит гарантию целостности только самой передачи по каналу,
  но не того что лежит на диске
* HTTPS позволяет аутентифицировать пакеты только при online передаче и
  только с ряда серверов. Тогда как просто подписанные пакеты можно
  передавать как угодно, кем угодно, любыми способами, даже никак не
  связанными с online
* HTTPS обезопашивает только передачу, но не то, что файлы на сервере не
  были изменены. Компрометация одного из серверов-зеркал возможна (может
  быть просто даже жёсткий диск сыпется на нём), тогда как просто с
  подписями вся эта проверка целостности и аутентичности произойдёт в
  любом случае
* Глупо (я бы сказал тупо наивно) доверять всем этим сотням CA ни с того
  ни с сего, потому-что кто-то вам сказал что вы доверяете. Любой из
  этих сотен CA в вашей системе может выпустить сертификат для зеркала с
  которого скачиваете и подсовывать вам что угодно. HTTPS не
  предоставляет никакой защиты против целенаправленной атаки на сервер
  распространения ПО
* Добавить дополнительные HTTP сервера -- простая задача. Добавить HTTPS
  сервера -- не тривиально и крайне сложно реализуемо с точки зрения
  безопасности: как-то нужно передать и обеспечить сохранность ключей.
  Вы даже просто не сможете добавить локальные кэширующие прокси-сервера