Du mitm vorzubeugen könntest du natürlich eine GPG signierte Variante des Bildes veröffentlichen, dann wäre das ganze zumindest etwas sicherer.