Update API возвращает подписанный manifest с номером версии, ссылкой и SHA-256. Приложение должно проверить Ed25519-подпись до того, как доверять данным manifest.
Пошагово
Проверить подпись manifest встроенным публичным Ed25519-ключом.
Скачать файл только по URL из проверенного manifest.
Сверить SHA-256 скачанного файла с manifest.
Только после совпадения продолжать установку.