Firefoxのインストーラには Mozilla Foundation のデジタル署名があります。
是非確認してみてください。ただし、V1.0には署名がありません。

Windwos XP SP2 だと、チェックが少し楽になってます。
インターネット経由でダウンロードしたプログラムには「インターネットからダウンロードした」というマークが付き
コード署名されて正当性が確認できたときは軽い警告（黄色）が出て、そうでないときは強い警告（赤色）が出たはずです。

フィンガープリントをそれが参照する事の出来るすべての人に配布済みで、全ユーザーがアクセスする前orアクセスした直後に正常であることを確認するのであるのであれば、それはオレオレ証明書ではないでしょう。
ちなみに出来ることが可能である事ではありません

それは前の発言にも書いたとおりです、アクセスが確認できる人に制限されており、さらにユーザーに証明書等が信用できるルートで配布されていれば問題ないと言うこと
逆に言えば参照できる全ユーザーがフィンガープリントを確認し、正常で有ることを確認するのであればオレオレではないと言うことです。

しかし、確認しない人、まだ確認出来る物を持っていない人にとってはオレオレ証明書なわけです
証明書の場合はブラウザが自動で確認してくれますから、少し条件が楽になりますが、フィンガープリントだと確認してもらわないといけないのでアクセスを限定しない限り実現するのは大変でしょう

>と括ってしまうのは、乱暴な議論じゃないでしょうか。

事実上インターネットに接続し、ブラウザを使用してSSLにてアクセスする全ユーザーに上記を強制するのがほぼ不可能に近い作業であると考えますから、別に乱暴でも無いと思いますよ

あぁもしかして、フィンガープリントを確認した個人にとってオレオレ証明書ではないと言いたいのならその通りでしょう
ただし、一般的にその証明書がオレオレで有るかどうかを評価するばあいは、アクセスできる多くの人を基準にして考えますから、やはりオレオレ証明書となってしまうと言うことです

> フィンガープリントを＜＜略＞＞確認するのであるのであれば、

それと同等の検証を、ブラウザ・OSの配布・流通においては、どう行ってます？

フィンガープリントが事前に全員に配られていなければならない、というのは厳しすぎる気がします。
ブラウザやOSの配布・流通では、すべての人が検証手段を持っているわけですらないのですから。
利用しようとする人のほとんどすべてが、フィンガープリントを(複数の手段で)入手できる、
と言う程度が適当だと思いますが、どうでしょうか？
それでも、ブラウザやOSの流通に比べて、厳しすぎるような気もしなくはないですが。
-----

...と、言うように、こう言った議論では、断定を避けるような議論になるかと思います。
立場が違えば結論も違って当然なのですから。
それも含めてどうでしょうか？
-----

ちなみに、ブラウザ・OSの流通だけでなく、管理者権限でインストールする必要のある
ソフトウェア全般に対しても、同等の検証が必要になりますよね。
MS-Windowsあたりだと、証明書ストアに何かをインストールしようとすれば、警告を発してくれるかな？
APIでなく、ファイルを直接アクセスするような場合でも警告は出るんだろうか？

ブラウザの場合には、ブラウザを使わなければ当然ブラウザを使ってSSLでアクセスする事は不可能です。
そのためにSSLの証明書はブラウザとともに配布されている訳でしょう
また各証明書発行団体の検証は配布側の企業・団体に委任されていると見て良いでしょう。
Microsoftだと詳細は不明ですが、こんな感じのようです [microsoft.com]

それは、秘密キーの管理の確認であったり、発行先の身元の確認方法で有ったりするわけです。

そしてユーザーはその配布団体を信用するかどうによって同時に配布されている証明書を信用するかどうかと言う事になります
そしてそのブラウザを使用して、配布された証明書を使用しSSLのアクセスを行うと言うことは、配布団体を信用するって事になるでしょう。

発行元を信用するというのは...秘密キーの管理は厳重に行われる事を確認しなければ意味がありません。
少なくとも他者に漏洩した時点でその鍵ペアは危険な物になりますから当然の最低条件です。

自己証明の場合は上記を判断する事を流通を行う側ではなく、使用者個々人に対して要求する訳ですが、フィンガープリントとともに不特定多数対し判断可能な資料は提示されるのでしょうか？
そしてそこまでを注意して個人に判断しろというのは、やはり不可能でしょう
その組織が責任を持てる範囲なら自己証明で処理することは問題ないと思いますが、不特定多数にそれを実行する物ではないと言うことです。
そしてオレオレだと文句を言われない為には、配布元が責任をもてる人以外はアクセス出来ないように制御するのが好ましいでしょう

>それと比べて、自己署名証明書とフィンガープリントの公告、という手段は、
>どのくらい安全だといえますか？

フィンガープリントはあくまで流通の正常性を証明するものですね。逆に言えばソフトMD5だったりするわけです
発行者が信用できないのであれば双方とも安全ではないでしょう
発行者や流通が信用できるものであれば、双方は信用できる元となります
それに私はフィンガープリントで確認した証明書が安全ではないといっている訳ではありません
フィンガープリントで確認することが不可能な人、また確認しようとしない人にとっては、自己証明はオレオレ証明書でしかないのです。

そして公開サーバーを評価するばあい、フィンガープリントでその安全性を確認する方法は、すべての人が見れる環境においては不適当でしかありません
それは強制的にフィンガープリントを確認するという行為を適応することが不可能だからです

>では、マイクロソフトは、どういう責任を取ってくれるのでしょうか？

配布元が信用できなければ、ブラウザから削除もできますし
ブラウザ自体を使用しないこともできるでしょう
その後、信用できる方法で使用者の責任においてインストールするという方法もありますよ
CAも同様です（苦笑
まぁ、信用できる人だけがつかっているのでしょう
ただし、信用度は自己証明より実績面で上だと判断する人が多いのは確かだと思います