Trail of Bits: почти никто из пакетных менеджеров не проверяет целостность загрузок
Trail of Bits прогнала 25 пакетных менеджеров через смоделированный взломанный репозиторий. Только Go и vcpkg проверяли хэши по умолчанию, подписи по умолчанию — только Go, а часть систем не проверяет целостность даже при lockfile.