Fände ich allein aus Prinzip auch gut. Alles verschlüsseln, was geht.

Mittels https könnte man verschleiern, das jemand sich Pakete herunterlädt (wobei das vielleicht über die Datenmenge auch ersichtlich ist), und vor allen Dingen WELCHE Pakete geladen werden.
Die Integrität der Pakete ist durch Checksummen auch bei http sichergestellt, in der Hinsicht ist https kein Vorteil.

Ob der Privacy-Gewinn in der Praxis den Aufwand für https wert ist, keine Ahnung.

Ich weiß, das aber auch andere Distributionen ihre Repositories per http anbieten.