Una sources.list è semplicemente un file di testo, localizzato solitamente nella directory /etc/apt/, la cui estensione “list” indica proprio il fatto che contiene una lista.

Le righe che costituiscono questa lista non sono altro che i repository. I singoli repository sono riportati nella lista nei formati seguenti:

deb http://host/debian distribuzione sezione1 sezione2 sezione3
deb-src http://host/debian distribuzione sezione1 sezione2 sezione3

Dove la prima parola di ogni riga è deb oppure deb-src, ad indicare il tipo di archivio:
se contiene pacchetti binari precompilati (deb) oppure pacchetti sorgenti (deb-src).
La sources.list viene sfruttata da APT per varie operazioni. In particolare quando eseguite da terminale il comando:
#sudo apt-get update
Vengono scaricati gli indici dei pacchetti contenuti nei singoli repository riportati nella sources.list.
Una volta aggiornata la lista dei pacchetti disponibili è possibile aggiornare o installare i pacchetti.

Ovviamente se gli indici non vengono aggiornati l’installazione di un nuovo pacchetto farà uso degli indici precedentemente scaricati e pertanto, con molta probabilità, verrà installata una versione non aggiornata del pacchetto.

Come riportato nella Linuxpedia:

Con il termine repository viene definito un archivio contenente una lista di pacchetti dal quale è possibile attingere per l’installazione di software in ambiente GNU/Linux. Ogni distribuzione GNU/Linux ha i propri repository ufficiali (curati dal team di sviluppo) e non ufficiali (curati da persone esterne al team) ed essi possono essere sia locali (CD-ROM o DVD) oppure remoti (esempio i repository ufficiali raggiungibili via http o ftp).

Advanced Packaging Tool, meglio conosciuto con l’acronimo Apt, è il gestore di pacchetti da linea di comando standard della distribuzione Debian e delle sue derivate.

Apt interagisce con il package manager dpkg mettendo a disposizione un sistema che in maniera automatica si prende carico della gestione delle dipendenze necessarie per il funzionamento corretto del pacchetto stesso e di aver cura di mantenere i file di configurazione esistenti in fase di aggiornamento del pacchetto.

Apt mantiene una lista di sorgenti (repository) dalle quali è possibile scaricare i pacchetti richiesti dall’utente e le loro relative dipendenze. Le sorgenti possono essere in unità locali, su CD o nella maggior parte dei casi repository remoti.

Se si aggiornano i pacchetti con versioni non stabili si può rendere il sistema molto instabile o addirittura danneggiarlo.

Pertanto sconsiglio di attivare indiscriminatamente tutti i repository non ufficiali contenuti nella vostra sources.list.

Fate attenzione a non aggiornare il kernel con versioni non stabili o perlomeno conservate sempre un kernel stabile in modo tale da poter avere un sistema operativo funzionante in caso di problemi.

Come riportato nella Wikipedia:

GNU Privacy Guard (GnuPG o GPG), rilasciato sotto la licenza GNU GPL, è un programma progettato per sostituire la suite crittografica PGP. GPG è completamente compatibile con gli standard OpenPGP dell’IETF ed è sostenuto dal governo tedesco. Fa parte del software sviluppato dalla Free Software Foundation.

GPG cifra i messaggi utilizzando una coppia di chiavi (pubblica e privata) generate dall’utente. Le chiavi pubbliche possono essere scambiate tra gli utenti in vari modi, principalmente email e keyserver. Tuttavia bisogna prestare particolare attenzione alla corrispondenza tra chiave e (presunta) identità: il problema di tutti i sistemi di crittografia asimmetrica è la certificazione dell’autenticità della chiave, solitamente risolto con la presenza di un’autorità centrale oppure con la firma delle chiavi (un utente firma la chiave pubblica di un altro utente per certificarne l’effettiva autenticità). Su questo delicato punto si basa anche la firma digitale di file (messaggi) per garantire l’autenticità del contenuto e del mittente.