Eu tenho um debian em um VirtualBox aqui, no trabalho, por trás de um proxy corporativo, e o HTTP funciona bem. Eu não sei se o security.debian.org permite FTP, mas eu realmente não confio em alguma outra fonte para os meus udpados de segurança .
JUST FYI: Configurei o apt para usar o proxy.
EDIT: lar doce lar, sem proxies aqui para que eu possa testar ftp:
$ ftp security.debian.org
Connected to security.debian.org.
220 security.debian.org FTP server (vsftpd)
Name (security.debian.org:d4rio): anonymous
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
200 PORT command successful. Consider using PASV.
150 Here comes the directory listing.
drwxrwsr-x 6 1176 1176 4096 Mar 18 17:54 debian-security
226 Directory send OK.
ftp> cd debian-security
250 Directory successfully changed.
ftp> ls
200 PORT command successful. Consider using PASV.
150 Here comes the directory listing.
-rw-rw-r-- 1 1176 1176 183 Aug 16 2000 README.security
drwxrwsr-x 5 1176 1176 4096 Feb 05 15:37 dists
drwxrwsr-x 2 1176 1176 4096 Feb 12 2009 indices
drwxrwsr-x 3 1176 1176 4096 Nov 20 2002 pool
drwxrwsr-x 4 1176 1176 4096 May 13 2008 project
226 Directory send OK.
ftp>
Então, security.debian.org permite login anônimo do ftp.