Когда скачиваешь тарболл с софтиной, рядом как правило лежит подпись, которую можно чекнуть.
А как проверять подлинность когда скачиваешь дерево VCS? У гита вроде как есть подписанные коммиты, но как проверить всё что ты скачал я не могу понять.