как проверить что программа не изменялась?

Надо получить открытый ключ того, кто подписал пакет. Его можно взять либо с сервера ключей, либо напрямую.
Для получения с сервера ключей:
gpg --keyserver wwwkeys.pgp.net --recv-keys <номер_ключа>
Из файла: gpg --import <имя_файла>

Проверка:
gpg --verify <файл_с_подписью> <файл>

Если вы не подписали полученный открытый ключ, появится предупреждение.
Чтобы подписать ключ, надо иметь собственный ключ: gpg --key-gen
Подписать можно так: gpg --sign-key <номер_ключа>