Show disabled ESM updates under their own group

We can find disabled (Pin-Priority: never, as set up by
ubuntu-advantage-client) updates using the apt API. We put those into their own
group ("disabled_esm_updates"), shown separately. Finally, that group is set
insensitive. New internal functionality is added to allow this.