fix(security): exigir igualdad estricta de certificados en verificación OTA

La lógica any/any pasaba si el APK descargado compartía al menos un cert
con el instalado — una clave rotada y comprometida habría seguido siendo
válida. Se reemplaza por comparación de conjuntos completos: el set de
certs del APK descargado debe ser idéntico al del app instalado.

Resuelve N-3 del SECURITY_AUDIT.md.

Author: Joshumpa

ota/src/main/kotlin/dev/helm/ota/OtaRepository.kt

@@ -108,7 +108,7 @@ class OtaRepository {
             )
             val apkCerts = apkInfo.signingInfo?.apkContentsSigners ?: return false
             val installedCerts = installedInfo.signingInfo?.apkContentsSigners ?: return false
-            apkCerts.any { apk -> installedCerts.any { it.toCharsString() == apk.toCharsString() } }
+            apkCerts.map { it.toCharsString() }.toSet() == installedCerts.map { it.toCharsString() }.toSet()
         } catch (e: PackageManager.NameNotFoundException) {
             Log.e("OTA", "Signature check failed: ${e::class.simpleName}")
             false