Software Updates на Debian unattended vs cockpit

кому следует верить?

Верить прежде всего стоит apt)

Попробуй посмотреть что выдает apt list --upgradeable.

Еще может помочь apt-cache policy ... для конкретных пакетов. Глянуть откуда opensc лезет можно так: apt-cache policy opensc

Вот что выдает:

$ sudo apt list --upgradeable
Listing... Done
avahi-daemon/stable 0.8-10+deb12u1 arm64 [upgradable from: 0.8-10]
base-files/stable 12.4+deb12u9 arm64 [upgradable from: 12.4+deb12u8]
bsdextrautils/stable 2.38.1-5+deb12u3 arm64 [upgradable from: 2.38.1-5+deb12u2]

Дело в том что я хочу чтобы автоматом ставились только пакеты из Debian-Security. Вроде как avahi-daemon это как раз тот случай, т.е. сам апдейт находится в Debian, а не в Debian-Security, но Cockpit показывает что это обновление безопасности как раз.

ставились только пакеты из Debian-Security.

Тут недавно вышло 9 обновление и пакеты из секьюрити перешли в основной репозиторий. Вот поэтому и нет ничего в секьюрити:

12.4+deb12u9 arm64 [upgradable from: 12.4+deb12u8]

В чем проблема ставить автоматом апдейты и из основного репозитория?

Не стесняйся пользоваться советами выше)) apt-cache policy avahi-daemon выдаст тебе где пакет. И вангую, регистрант einhander тебе правильно написал, оно в мэйне. Сделай авто обновление, в том числе, из main и не парься. Ни разу не видел чтобы что-то поломалось.

Тут недавно вышло 9 обновление и пакеты из секьюрити перешли в основной репозиторий. Вот поэтому и нет ничего в секьюрити:

Вот это очень похоже на правду, да. Собственно они в основном и есть, в Debian, а не в Debian-Security.

В чем проблема ставить автоматом апдейты и из основного репозитория?

Да как-то исторически только Security ставлю.

регистрант einhander тебе правильно написал, оно в мэйне.

То что оно в мэйне я уже понял. У меня скорее вопрос заключался в том что почему оно в мэйне, а не в security? Ну или и там и там.

Чтобы в установочных образах нового выпуска уже были включены обновления безопасности.

но Cockpit показывает

Он же через устаревший PackageKit работает? Я бы эту хрень всерьёз не воспринимал, на неё забили даже в родной Fedora.

Я бы эту хрень всерьёз не воспринимал

Мне чисто чтобы доступ с таблета был, без ssh.