Boa pergunta, e a resposta honesta é: não vai assinado, e pelo HTTP não existe outra checagem de integridade além do tamanho declarado no JAD (que também vem pelo HTTP). Quem estiver no meio do caminho no momento do download consegue trocar o arquivo.

Eu cheguei a implementar a assinatura MIDP 2.0 (RSA/SHA-1 no JAD), mas ela não resolve o problema nesses aparelhos: o celular só confia em assinaturas que encadeiam numa raiz que já vem nele (fabricante, operadora ou os programas antigos tipo Java Verified), e essas raízes não emitem mais nada. Com certificado próprio, o aparelho recusa ou trata como não confiável, então a assinatura daria uma sensação de segurança que não existe.

O que existe hoje:

a página de instalação tenta HTTPS primeiro; o HTTP é a alternativa para o navegador que não abre o HTTPS moderno;
quem quiser evitar o HTTP pode baixar o JAR pelo painel (HTTPS, com login) no computador e passar para o celular por cabo, Bluetooth ou cartão;
depois de instalado, o app fala com o servidor por TLS próprio com a chave do servidor fixada no app, e o celular só entra na conta depois do pareamento com o código de 6 números.

Isso protege a comunicação depois da instalação, não a instalação em si: se o JAR for trocado no download, o pinning não ajuda. O risco é de quem está no caminho naquele momento (Wi-Fi público, por exemplo), por isso a recomendação é instalar numa rede de confiança ou pelo cabo.

Uma melhoria que dá pra fazer rápido é publicar o SHA-256 de cada JAR na página em HTTPS, para quem quiser conferir no computador antes de passar pro celular. Vou colocar na lista.