Подожди, а в самоподписанные веришь? Их же можно спокойно MiTM'ить и подменять на другие самоподписанные.
С ключами к репозиториям, собственно, та же проблема: либо ты получаешь их изначально по HTTPS (не от доверенного же лица лично), либо тебе их могут подменить.