>> ftp://ftp.ca.debian.org/debian/dists/Debian8.11/Release
> Дебиан, побив себя пяткой в грудь как у них всё защищено подписями,
> уже oбocpaлся с http:
> https://www.opennet.ru/opennews/art.shtml?num=50007
> ftp подвержен той же проблеме.

Во-первых:
ошибка там в логике обработчика.
Во-вторых:
>> если атакующий получил контроль за зеркалом

в этом случае у меня для любителей https плохие новости.
А так все хорошо и верно, ага.

Но так-то да, с сертификатами никто никогда (тем более совсем недавно) не обделывался:
https://www.opennet.ru/opennews/art.shtml?num=49937
> 11.01.2019 18:42  Рост атак, связанных с захватом контроля над DNS
> После получения доступа к параметрам DNS атакующие указывают для домена IP-адрес своего хоста, на котором запускают прокси, перенаправляющий весь трафик на легитимный сервер жертвы. В отличие от зафиксированных в прошлые годы подобных атак, злоумышленники получают рабочий SSL-сертификат,

.
.
>> ftp://ftp.uni-stuttgart.de/debian-cd/current/amd64/iso-cd/SH...
> Во-первых, контрольные суммы iso'шек не сверяют только ССЗБ

поправил, не благодарите.
> Во-вторых, SHA256SUMS подменяются вместе с iso'шкой.

Ну так подмените. Не забудьте только рядом лежащую SHA256SUMS.sign подправить, а то палевно немного.