…und plötzlich klingt “reproducible” gar nicht mehr so nach “zu bevorzugen”…
Wieso? Wenn du selbst und ein evtl. Angreifer keine vom Source-Code abweichende Datei erstellen kann, kann es auch keinen Angriff geben. Die einzige Möglichkeit wäre, den Source-Code selbst anzugreifen.
Achso, hatte es falsch verstanden… Es hörte sich an als wenn es einfach ist eine unsignierte Datei zu erzegen aber sie muss ja immer gleich der anderen sein, kann also nicht von der anderen abweichen… Tja, ist nicht meine Welt und schwer zu begreifen merke ich immer mehr… Danke für deinen ganzen Aufwand der Erklärungen! 
