Смешно если честно, это предложение больше на вброс или троллинг похоже.

> There must be a website or a central authority

Сейчас же набегут со словами "а почему мы вообще должны доверять шапке?"
И начнут делить кому можно доверять, а кому нет.

> which includes known to be good/safe/verified/vetted open source packages

Кто их будет верифицировать? Даже у RHEL нет таких ресурсов.

> along with e.g. SHA256/384/512/whatever hashes of the source tarballs.

Как это поможет, если из затрояненых сорцов будет собран такой же бинарь?
Суммы все сойдутся, а толку будет ноль.

Я бы закрыл такое предложение "А давайте чтобы было хорошо и не было плохо" как notabug