O primeiro URL.
Ambos os locais possuem o mesmo software, no final, isso não importa. Assim que o Xenial atingir o fim da vida útil, apenas o "arquivo" será utilizável, mas não obterá nenhuma atualização de segurança.
deb http://security.ubuntu.com/ubuntu xenial-security ...
ou
deb http://archive.ubuntu.com/ubuntu xenial-security ...
O primeiro URL.
Ambos os locais possuem o mesmo software, no final, isso não importa. Assim que o Xenial atingir o fim da vida útil, apenas o "arquivo" será utilizável, mas não obterá nenhuma atualização de segurança.