Quem aqui é o bichão que verifica o hash do algoritmo SHA-256 dos arquivos que usa, para verificar a autenticidade deles?

Como você encontra a chave pública dos desenvolvedores?