Викиливаємо алгоритм Ґутманна в кошик

Викиливаємо алгоритм Ґутманна в кошик



Основні відомості про знищення даних



Надійне видалення даних є дуже важливим, але часто нехтуваним та погано зрозумілим аспектом інформаційної безпеки. Необхідність безпечного, безповоротного знищення даних таким чином, щоб їх відновлення було неможливим може виникати з багатьох причин. Це часто регулюється законодавством державного та міжнародного рівня, вимогами захисту державної або іншої таємниці, договірними зобов’язаннями до захисту деяких категорії інформації. Потреба видалення даних може також випливати з умов співпраці та захисту своїх інтересів і приватності без жодних зовнішніх обов’язків. Видалення даних має теж свою темну сторінку у вигляді знищення або приховування цифрових доказів злочинів. З технічної точки зору це такий сам захист інформації, як і кожен інший. І це також можна зробити мудро та результативно або невміло.
Ця стаття посилається на публікацію Пітера Ґутманна (Peter Gutmann) "Secure Deletion of Data from Magnetic and Solid-State Memory" представлену на конференції «USENIX» у липні 1996 року. Це найчастіше цитована публікація в контексті перезапису даних та основа одного з найпопулярніших алгоритмів перезапису інформації. В деяких колах стаття Ґутманна стала майже релігійною догмою. Тим не менш, ця публікація містить ряд тез і припущень, які викликають сумніви в тому, чи справді її автор добре розуміє роботу жорстких дисків та фізику зберігання інформації.



Види носіїв інформації



Носії інформації можна класифікувати різними способами. Зокрема, їх можна поділити на аналогові та цифрові. Цифровий носій даних, це носій, який зберігає інформацію в спосіб зрозумілий машинам, у вигляді послідовності логічних станів інтерпретованих як нулі та одиниці. Решта носіїв даних називаються аналоговими. Однак також у випадку цифрових носіїв основою для визначення логічних станів є певні фізичні стани аналогові, оцифровані в процесах кодування та декодування. Сам процес інтерпретації фізичних станів як конкретних логічних станів виникає з прийнятої конвенції.
Найчастіше прийнятим критерієм класифікації носіїв даних є фізичні явища, що лежать в основі зберігання інформації. За технологією зберігання даних можна виділити наступні категорії носіїв:

Магнітні:
жорсткі диски (HDD),
дискети (FDD),
магнітні стрічки (LTO),

Оптичні:
компакт-диски CD,
диски DVD,
диски BD-R,
диски HD-DVD,

Напівпровідникові:
твердотільні накопичувачи (SSD),
флешки,
карти пам’яті (SD, CF, MMC, xD, SM, MSPro...),
вбудована пам’ять Flash-NAND (eMMC, MCP...),

Резистивні:
зміннофазові (PCRAM),
магніторезистивні (MRAM),
електрохімічні (ReRAM),
пам’ять NanoRAM,

Паперові:
перфострічки.
пепфокарти.

З точки зору можливості знищення інформації важливою класифікацією є розділ носіїв даних на енергонезалежні (здатні довгостроково зберігати дані без підключення до джерела живлення) та енергозалежні (без постійного живлення негайно втрачають логічні стани). Прикладами останніх є пам’яті типу DRAM (анг. Dynamic Random Access Memory - динамічна оперативна пам'ять) та SRAM (анг. Static Random Access Memory - статична оперативна пам'ять). Для енергозалежних носіїв даних в разі потреби видалення інформації достатньо на мить вимкнути джерело живлення.
Носії даних можна також розділити на таки, які можна записати багато або лише один раз. Якщо носій можна записати тільки один раз, нема можливості змінити його вміст, тому інформацію на цих носіях неможливо видалити шляхом перезапису. Найбільш типовими прикладами носіїв з тільки одноразовим записом є диски CD-ROM та DVD-ROM. Для знищення інформації на цих носіях необхідно фізично знищити носій.



Стандарти які регулюють знищення даних



Знищення даних регулюються різними стандартами розробленими різними державними, військовими та науковими установами. Ці стандарти класифікують методи знищення даних та інформацію, яка має бути знищена різними способами, часто вимагаючи використання різних методів знищення даних залежно від вмісту носія. Однак якщо усвідомити собі, що інтерпретація даних відбувається на рівні логічних структур файлових систем та програмного забезпечення, можна легко зрозуміти, що вміст носія не впливає на процес знищення даних. З точки зору носія та фізики запису немає істотної різниці між різними потоками нулів та одиниць, незалежно від того, як їх інтерпретувати на логічному рівні та яке суб’єктивне значення надають їм користувачі або різні регуляції.
Стандарти, які описують знищення даних містять багато розбіжностей, з різними оцінками результативності різних методів знищення даних. Деяки з них ототожнюють дані з носіями та вимагають фізичного знищення носіїв. У деяких випадках рекомендуються процедури, які передбачають багатоетапне знищення інформації різними методами. Цей підхід також дуже популярний у багатьох внутрішніх процедурах заснованих на різних стандартах, що іноді продиктовано необхідністю забезпечити дотримання умов, які винікають з багатьох різних нормативних актів.
які викликають сумніви щодо їх відповідності для цифрових носіїв даних, а деякі рекомендації вигладають так, ніби вони скопійовані безпосередньо з нормативних актів, які регулюють знищення документів паперового типу. Проте, докладний аналіз вмісту стандартів виходить за рамки цієї статті.
Ніжче знаходиться перелік найпопулярніших стандартів, які описують знищення даних:

1. AFSSI-5020 (Air Force System Security Instruction 5020),
2. CSEC ITSG-06 (Communication Security Establishment Canada, Information Technology Security Guide - 06),
3. HMG-IS5 (Her/His Majesty Government Infosec Standard 5),
4. IEEE 2883-2022 (Institute of Electrical and Electronics Engineers, Standard for Sanitizing Storage),
5. NAVSO P-5239-26 (Navy Staff Office Publication 5239-26, Information Systems Security Program Guidelines),
6. NISPOM DoD 5220.22-M (National Industrial Security Program Operating Manual, Department of Defence 5220.22-M),
7. NIST SP 800-88 (National Institute of Standards and Technology, Guidelines for Media Sanitization),
8. NSCS-TG-025 (National Computer Security Center, Technical Guidelines 025, A Guide to Understanding Data Remanence in Automated Information Systems),
9. RCMP TSSIT OST-II (Royal Canadian Mounted Police, Media Sanitation of the Technical Security Standards for Information Technology),
10. VSITR (Verschlusssachen IT Richtlinien),
11. ГОСТ Р50739-95 (Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования),



Методи знищення інформації



Вищезазначені стандарти по-різному класифікують методи знищення даних, але з технічної точки зору та безпеки інформації важливо ці методи розділити на результативні та нерезультативні. Метод знищення даних можна вважати результативним, якщо після його використання відновити дані неможливо як за допомогою відомих та доступних способів, так і способів, які потенційно можуть бути розроблені в майбутньому. Решта методів, які залишають навіть лише теоретичні можливості відновлення даних, є нерезультативними.
Приймаючи таке визначення результативності методів знищення інформації, можна відразу зробити два практичні висновки, які дозволяють оптимізувати процедури знищення даних. По-перше можна відкинути всі нерезультативні методи, як непотрібні зусилля та витрати, оскільки вони не сприяють досягненню мети знищення даних. По-друге, можна обмежити процедуру до одного, вибраного результативного метода, який самостійно забезпечує знищення даних.
Завдяки такому підходу, можна зосередитися на виборі результативних методів знищення інформації для певних категорій носіїв. При тому треба пам’ятати, що результативність знищення даних може відрізнятися в залежності від технології використовуваної для зберігання інформації. Наприклад розмагнічування може бути методом результативним на магнітних носіях, але не працюватиме на напівпровідникових або оптичних.
Методи знищення даних також розділяються на апаратні (фізичні) та програмні (логічні). Апаратні методи передбачають вплив на носій таким чином, щоб його вміст було неможливо прочитати. Однак треба звернути увагу, що знищення або пошкодження носія не те саме, що знищення інформації. Тому й не кожне пошкодження диска робіть відновлення даних неможливим. Навпаки — компанії що спеціалізуються на відновленні даних часто відновлюють інформацію з апаратно пошкоджених носіїв, теж пошкоджених навмисно, з наміром знищити їх вміст. Також у багатьох випадках, для яких в практичних ситуаціях відновлення даних завершилось неуспішно, наприклад через брак потрібних запчастин, інструментів або відсутність відповідних методів, часто існують теоретичні основи, які дозволяють розраховувати на можливість відновлення цієї інформації у майбутньому.
В свою чергу програмні методи спрямовані на знищення самої інформації без пошкодження носія. На відміну від фізичних методів, логічні дозволяють знищувати вибрані дані вибірково, без необхідності знищувати весь вміст носія. Ці способи зводяться до знищення даних шляхом заміни їх іншою інформацією, тобто перезапису. Якщо дані не перезаписуються, а видаляються або ж змінюються тільки метадані, які описують ці дані в логічних структурах файлових систем, саму інформацію можна відновити.
Проте все ще винікають сумніви щодо можливості відновлення перезаписаних даних. Суперечка найчастіше стосується необхідної кількості проходів перезапису потрібних для результативного знищення інформації. Іноді також звертають увагу на використовувані шаблони перезапису. Ці сумніви часто підживляються маркетинговими матеріалами спрямованими на те, щоб переконати користувачів вибрати певний метод або інструмент знищення даних, зазвичай шляхом не завжди виправданої дискредитації альтернатив.
Концепції методів відновлення перезаписаних даних з’явилися на рубежі 1980-1990-х років. У той час було проведено ряд досліджень спрямованих насамперед на відтворення попереднього стану намагніченості магнітного шару за допомогою магнітно-силової мікроскопії, серед яких на особливу увагу заслуговують праці групи під керівництвом Ромля Ґомеза (Romel Gomez). Менш популярними були осцилографічні дослідження сигналу, що перехоплюється з блоку магнітних головок. Стаття Ґутманна є підсумком праці виконаної наприкінці 1980-х та в першій половині 1990-х років, і одночасно пропозицією рішення проблеми сумнівів щодо результативності перезапису шляхом створення спеціального багатопрохідного алгоритма.

Фізичні методи знищення даних, це:
- механічні (від ударів молотком, чи пересвердлювання до роздрібнення спеціальними жорнами),
- термічні (від кидання у вогонь та нагрівання в печі до плавлення в металургійних котлах),
- хімічні (застосування різних хімічних речовин),
- розмагнічування (вплив на носій магнітним полем),
- індуктивні (використання різних видів випромінювання, наприклад УФ, іонізуюче, мікрохвильове),
- піротехнічні (використання піротехнічних та вибухових матеріалів).

Програмні методи знищення даних включають:
- перекиданна файлів у системний кошик (тобто переміщення до спеціального каталогу — метод очевидно недієвий, але використовуваний),
- видалення на рівні метаданих файлової системи (можливості відновлення даних залежать від багатьох чинників, наприклад типу носія, підтримки функції TRIM, тощо),
- форматування розділу (результативність залежить від методу форматування, типу носія, підтримки TRIM, тощо),
- перезапис (одно- або багатопрохідний з використанням різних шаблонів — про це ця стаття),
- Secure Erase (процедура очищення носія реалізована на рівні прошивки),
- Block Erase (процедура стирання фізичних блоків реалізована на рівні прошивки в напівпровідникових носіях).


Далі стаття зосередиться на результативності перезапису даних, як метода знищення інформації на жорстких дисках, оскільки це питання становить основну частину міркувань викладених в публікації Ґутманна. В основі дальшої часті лежать окремі уривки цієї публікації, які свідчать про недостатнє розуміння автором певних питань та призводять до невірних висновків. Також буде звернута увага на деякі надумані тези, які використовуються для обґрунтовання необхідності багаторазового перезапису для забезпечення результативності цього методу.



Що Пітер Ґутманн писав про...



Біт у магнітному записі



"... when a one is written to disk the media records a one, and when a zero is written the media records a zero. However the actual effect is closer to obtaining a 0.95 when a zero is overwritten with a one, and a 1.05 when a one is overwritten with a one."

"... коли одиниця записуеться на диск, носій записує одиницю, а коли записується нуль, носій записує нуль. Однак фактичний ефект ближче до отримання 0,95, коли нуль перезаписується одиницєю та 1,05, коли одиниця перезаписується одиницєю."

Щоб оцінити це міркування, треба знати, що фізично таке біт у магнітному записі. Який фізичний стан означає логічний нуль, а який — логічну одиницю. Щоб це зрозуміти, спочатку треба розглянути, як читається магнітний носій.
Дані з магнітних носіїв зчитуються голівками, що летять над намагніченою поверхнею (у випадку жорстких дисків) або рухаються по неї (у випадку магнітних стрічок, дискет та деяких найстаріших, історичних жорстких дисків початкового періоду носіїв цього типу). Намагнічена поверхня рухаючися під голівкою індукує електричну хвилю. Імпульси в цієї хвилі індукуються змінним магнітним полем. І саме ці імпульси трактуються як логічні одиниці. Проте логічний нуль — це відсутність такого імпульсу.
Отже, що таке області з постійним та змінним полем? В кожному тілі, що виявляє магнітні властивості, можна виділити ділянки з рівномірною намагніченістю — магнітні домени. Ці домени відокремлені один від одного доменними стінками — областями, де змінюється поляризація вектора намагніченості. І саме ці стінки є областями змінної намагніченості, що викликають імпульси інтерпретовані як логічні одиниці. Самі домени є областями постійної намагніченості.
Магнітний запис передбачає надання носію певного бажаного порядку намагніченості поверхні, що більш докладно описано в книзі Theory of Magnetic Recording. У цьому процесі домени можуть змінювати свою полярність, але теж свої розміри. Доменні стінки можуть зміщуватися, зникати або можуть утворюватися нові, що призводить до переміщення, зникнення або утворення нових доменів. Щоб можна було говорити про перезаписування однієї логічної одиниці іншою, після перемагнічування поверхні, доменна стінка мала б попадати точно в тому самому місці, де була попередня. Тому на практиці неможливо чітко стверджувати, що логічна одиниця перезаписана одиницею чи нулем.
Попередня поляризація намагніченості може впливати на форму та ширину доменних стінок, а отже і на форму та ширину індукованих ними імпульсів, що було помічено ще в початку 1980-х. Це явіще більш детально обстежив та описав Сергій Коженевський з Центра Відновлення Даних "ЕПОС" в книзі "Перезапись информации". Однак якщо намагатись відновити перезаписані дані таким чином, більш цікава не попередня поляризація намагніченості, а попередне розташування доменних стінок. Описані результати дослідження з використанням осцилографа не вказують на можливість визначення попереднього розташування доменних стінок з достатньою точністю.
Крім того не можна забувати про інші чинники, що впливають на висоту, ширину та форму імпульсів. Це багато в чому залежить від локальних властивостей магнітної поверхні та стану кристалічної структури. На амплітуди сигналу впливає теж відстань між сусідними стінами. Чим ближче вони одна до одної, тим ніжчі амплітуди імпульсів. На стан намагніченості та параметри сигналу також впливають зовнішні магнітні поля та коливання температури і напруги живлення.
У випадку перпендикулярного запису важливим джерелом електромагнітних шумів є магнітно-м’ягкий шар (анг. SUL – Soft Underlayer), який служить для замикання силових ліній поля індукованого записувальною голівкою. Хоча в той час, коли була написана стаття Ґутманна, жорсткі диски використовували лише паралельний запис, сьогодні вже всі диски використовують запис перпендикулярний. Подробниці фізики запису перпендикулярного описані в книзі "Perpendicular magnetic recording". Фільтрація впливу вищезазначених чинників на форму сигналу, щоб ізолювати шум, що є результатом виключно попереднього стану намагніченості, є дуже складним завданням, оскільки деякі з цих факторів залежать від зовнішних умов, які неможливо точно відтворити. Ще складніше знайти достатньо точне попередне розташування доменних стін.



Кодування даних на жорстких дисках



Наведений вище, а також наступні цитати зі статті Ґутманна вказують на те, що автор може не розуміти процесу кодування даних на жорстких дисках. Фактично з усєї його публікації складається враження, що дані записуються на диск у сирій, необробленій послідовності нулів та одиниц отриманих на зовнішній інтерфейс. Це дивно, оскільки в той же час він сам чимало разів згадує про різні методи кодування даних та навіть намагається зіставити з ними шаблони перезапису свого алгоритму.
Насправді дані записані на диск є даними закодуваними, які зовсім не схожі на вхідний потік нулів та одиниц. Оскільки дані на кожному етапі пересилання, обробки та зберігання схильні до помилок, зазвичай використовуються різні заходи безпеки у вигляді контрольних сум та кодів виправлення (анг. ECC – Error Correction Code). Так і забезпечуються дані зберігані на жорстких дисках. Подробниці забезпечення цілісності даних відрізняються для окремих виробників та змінюються з часом, але для мети зрозуміння процесу кодування даних та помилок Ґутманна достатньо знати, що таки коди виправлення існують та що під час запису даних для їх захисту вони обчислюються та додаються до кожного сектора диска.
Дані записані на диск також рандомізовані. Мета рандомізації — розбити довгі рядки повторювальних символів. Довгі послідовності однакових символів або повторювані послідовності символів можуть сприяти виникненню небажаних хвильових явищ у каналах запису та зчитування, таких, як стоячі хвилі, відбиття хвиль або паразитні гармоніки. Воні також можуть спричиняти міжсимвольну інтерференцію (анг. ISI – Inter Symbol Interference) – зрушення та переміщення між окремими символами в потоці даних. Оскільки доріжки записані на поверхні пластини кожна поруч з іншими, між ними теж виникають індуктивні впливи, які називаються міждоріжковими інтерференціями (анг. ITI – Inter Track Interference). Рандомізація допомагає зменшити негативний вплив цих явищ.
З точки зору безпеки знищення інформації найважлившим етапом кодуванна даних є підготовка їх до запису на диск. Першим методом кодування інформації, використовуваним в жорстких дисках, був метод FM (анг. Frequency Modulation – частотна модуляція). Цей метод передбачає запис імпульсів тактового сигналу та розміщення між ними бітів даних. Якщо це була логічна одиниця, вставлявся додатковий імпульс між тактовими імпульсами, а якщо це логічний нуль — ні.
Це був неефективний метод, у якому біт «0» кодувався одним довшим магнітним доменом, а біт «1» - двома коротшими. З часом була зроблена спроба оптимізувати його шляхом впровадження методу MFM (анг. Modified Frequency Modulation – модифікована частотна модуляція), в якому щільність запису була покращена шляхом обмеження кількості імпульсів тактової складової. Однак справжню революцію принесло кодування RLL (анг. Run Lenght Limited – довжина серії обмежена), яке дозволило повністю виключити тактову складову та збільшити щільність запису даних до кількох бітів на один магнітний домен.
Кодування RLL є кодуванням із самосинхронізацією. Цей метод полягає на розміщенні певної кількості логічних нулів між окремими імпульсами, що позначають логічні одиниці. Кількість нулів розраховується на основі відстані між імпульсами. Це означає, що один домен може кодувати декілька бітів, а кількість бітів між одиницями залежить від довжини домену. Мінімальна та максимальна кількість нулів, які можуть бути розміщені між одиницями визначається з урахуванням чинників впливаючих на частоту сигналу (можливі розміри стабільних магнітних доменів, швидкість обертання пластин, тощо), чутливості зчитувальних головок та здатності схеми декодера для обробки сигналу і виправлення помилок кодами корекції, щоб мінімізувати кількість помилок та ризик десинхронізації сигналу.
В той же час, між двома доменними стінками завжди знаходиться магнітний домен, тому в кодуванні RLL не можуть бути дві послідовні логічні одиниці. Вони завжди повинні бути розділені принаймні одним нулем. Оскільки реальні дані рідко відповідають цій умові, їх потрібно конвертувати за допомогою відповідних таблиць. Тому спроби відновити літерально окремі біти не мають сенсу, а спроби відновити інші невеликі порції даних, менше сектора, ускладнюються необхідністю належного адресування та декодування цих фрагментів.
Тема кодування даних у жорстких дисках дуже обширна. Це питання більш детально описано в книгах: "Codes for Mass Data Storage Systems", "Coding and signal processing for magnetic recording systems" та "Coding and Iterative Detection for Magnetic Recording Channels". В контексті можливості відновлення даних дуже цікаві також стаття "Drive-Independent Data Recovery: The Current State-of-the-Art" та книга "Spin-stand Microscopy of Hard Disk Data".



Мінімальна одиниця адресації



"...when data is written to the medium, the write head sets the polarity of most, but not all, of the magnetic domains. This is partially due to the inability of the writing device to write in exactly the same location each time, and partially due to the variations in media sensitivity and field strength over time and among devices."

"...коли дані записуються на носій, голівка запису встановлює полярність більшості, але не всіх магнітних доменів. Частково це пов’язано з неможливістю підтримувати точність запису щоразу в тому самому місці, а частково через варіації чутливості носія та напруженості поля з часом та між пристроями."

Виходячи зі знання методів кодування даних, можна зробити висновок, що магнітні голівки не записують окремих магнітних доменів. Це є несумісним з системою кодування RLL, в якій кількість логічних нулів визначається відстанню між черговими стінками доменів, тому під час запису інших даних розміри доменів змінюються.
Крім того технічно неможливо адресувати окремі біти, чи магнітні домени. Частина поверхні пластини відведена під інформацію необхідну для забезпечення правильної роботи диска. Ця категорія включає серед іншого сектори серво, що дозволяють правильно ідентифікувати доріжку та контролювати траєкторію польоту голівки, а також заголовки секторів, які відповідають за їх правильну адресацію.
І саме сектори (раніше 512-байтові, в сучасному варіанті «Advanced Format» - 4-кілобайтові) є мінімальною одиницею адресації, яка описана стандартами ATA та SCSI. Ці стандарти — основні документи, які описують роботу жорстких дисків та забезпечують їх сумісність. Навіть якщо потрібно змінити один біт даного сектора, це вимагає відповідного кодування всього сектора та формування відповідної хвилі електромагнітного сигналу, який потім записується у відповідне, визначене заголовком сектора місце на поверхні пластини. Незважаючи на зміни конструкції жорстких дисків протягом майже 70 років, вони ніколи не передбачали інших одиниць адресації, крім секторів.
І саме так працюють диски. Навіть, якщо ми хочемо змінити тільки один біт сектора, це вимагає відповідного кодування цілого сектора та формування відповідної хвилі електромагнітного сигналу, яка потім записується у відповідному фізичному місці на поверхні пластини, що позначається заголовком сектора. Якщо ми хочемо переконатись у цим, достатньо створити малий текстовий файл.
Знайдить цей файл та перевірить, як виглядає його вміст у шістнадцатковому редакторі. При цьому можемо замінити нулі в кінці сектора на інші числа, щоб перевірити, чи вони збережуться при редагуванні файла. Потім ми відредагуємо цей файл у блокноті та знову перевіримо його вміст у шістнадцатковому редакторі. Якщо ми це зробимо, то побачимо, що вміст секторя після останнього байта файлу буде замінено нулями. Тому твердження про запис, читання, відновлення, чи навіть адресацію окремих бітів або байтів є нісенітницею.



Відстеження доріжки



"Deviations in the position of the drive head from the original track may leave significant portions of the previous data along the track edge relatively untouched."

"Відхилення положення голівки диска від оригінальної доріжки можуть залишити значну частину попередніх даних уздовж країв доріжки відносно недотроканими."

Це твердження мало сенс у той час, коли все ще в жорстких дисках використовувались для позиціонування блоку магнітних головок крокові двигуни. Як випливає з його назви, кроковий двигун завжди обертається на певний крок або його кратність. Неможливо встановити його в проміжному положенні. Ця властивість крокових двигунів призводила до ризику запису доріжки з постійним зсувом відносно попереднього положення, наприклад через нездатність компенсувати різницю в температурному розширенні окремих компонентів диска. З цієї причини перед виконанням низькорівневого форматування рекомендувалося запустити диск щонайменше на пів години, щоб всі компоненти нагрілися рівномірно.
Процес заміни крокових двигунів на лінійні (соленоїдні) почався ще в середині 1980-х років та завершився два роки до часу, коли Ґутманн опублікував свою статтю. Остання компанія, яка виготовляла жорсткі диски з кроковими двигунами (Kalok) збанкрутувала в 1994 році. Цього повинно вистачити, щоб публікація хоча б відзначила наявність накопичувачів з лінійними двигунами, що дозволяють плавно регулювати положення блоку магнітних головок, або принаймні чітко вказати, що вищенаведене твердження стосується тільки пристроїв з кроковими двигунами.
Лінійні двигуни (анг. VCM – Voice Coil Motor – двигун зі звуковою котушкою) складаються з котушки розміщеної між двома постійними магнітами. Змінне електричне поле викликане струмом, що протікає через поміщену в постійному магнітному полю котушку, змушує її рухатися відносно магнітів. Типовим рішенням є позиціонери, які обертаються навколо осі та переміщують голівки над поверхнею пластин по дузі, але раніше використувовалось також рішення засновані на зворотно-поступальному русі котушки. Однак це останнє рішення було більш складним та займало більше місця всередині корпусу і з цих причин виробники швидко від нього відмовилися.
Заміна крокових двигунів лінійними призвела до важливих змін у підсистемі позиціонування головок та відстеження доріжки. Плавне регулювання положення блоку магнітних головок відкриває можливість точного ведення голівки над центром доріжки, але також вимагає зворотного зв'язку для контролю її положення. Це досягається за допомогою секторів серво розташованих на поверхнях пластин через рівні проміжки. Кількість секторів серво різна в залежності від моделі диска. У багатьох випадках це можна перевірити за допомогою програми "Вікторія". Якщо програма в паспорті диска віддає параметр "Wedges" ("Клини") - то це і є кількість сервосекторів.
Сектори серво містять ряд інформацій, що дозволяють ідентифікувати доріжку, контролювати швидкість обертання пластин, забезпечувати правильну синхронізацію сигналу та підтримувати траєкторію польоту голівки над центром доріжки. Зважаючи на мету статті, найважливіше останнє з цих завдань. Кожен сектор серво містить у собі поля-сервомітки, які генерують сигнал помилки позиціонування (анг. PES – Positioning Error Signal). Цей сигнал дозволяє визначити, в який бік та на скільки голівка відхиляється від центру доріжки. На підставі сигналу помилки позиціонування процесор може наказати контролеру двигунів підрегулювати напругу на котушці, що впливає на зміну положення позиціонера. Завдяки тому, що кількість секторів серво зазвичай перевищує 100 секторів на доріжку, а інколи буває значно більша, на практиці стабільний політ голівки вздовж краю доріжки неможливий. Якщо голівка відхиляється від центра доріжки, сервомеханізм намагається виправити її положення якомога швидше. Навіть, якщо компенсація стикається з певними труднощами, набагато більша ймовірність, що голівка коливатиметься поблизу центру доріжки, ніж те, що вона летітиме вздовж одного з її країв.
Ситуації запису зі зміщенням від центра доріжки звичайно можливі, але зі збільшенням щільності запису все менш імовірні. Також можливість залишення непошкоджених фрагментів попередньої намагніченості була дуже мала й в середині 1990-х років, а пізніше стала вкрай неймовірна. У всякому разі слова «значна частина попередніх даних» з практичної точки зору треба розуміти як «не менш одного когерентного сектора». Інакше це будуть лише невеликі фрагменти, які буде дуже важко адресувати та декодувати, а також визначити час створення цих записів та оцінити їх достовірність. Задокументованих випадків практичного відновлення хоча б одного сектора з краю доріжки не має навіть для застарілих дисків з кроковими двигунами.
В сучасних жорстких дисках ризик того, що шматки старих даних залишаться по краях доріжки нехтувальний. Крім того, такий сигнал був би сильно порушений впливом запису на сусідньої доріжці. У випадку дисків, що використовують черепичний магнітний запис (анг. SMR – Shingled Magnetic Recording), цей ризик повністю виключається завдяки частковому перезапису попередніх доріжок під час запису наступних. Крім того використовуються набагато більш просунуті рішення в області позиціонування та контролю положення головок, в тому числі багатоступеневі позиціонери. Однак навіть з дисками 1980-х та початку 1990-х років ніхто не зміг продемонструвати практичний приклад відновлення даних зчитаних з краю доріжки.
Теми сервомеханіки жорстких дисків та відстеження доріжки, а також управління двигунами є занадто великимиі, щоб їх докладно описати в цієї статті. Воні більш детально представленні в декількох книгах, серед яких варто відзначити:
"Взгляд на жёсткий диск "изнутри". Механика и сервосистема",
"Hard Disk Drive Mechatronics and Control",
"Hard Disk Drive Servo Systems",
"Multi-Stage Actuation Systems and Control" та цитовану там літературу.



Перемагнічування магнітного шару



"When all the above factors are combined it turns out that each track contains an image of everything ever written to it, but that the contribution from each 'layer' gets progressively smaller the further back it was made."

"Якщо об'єднати всі вищезазначені чинники, виявляється, що кожна доріжка містить зображення всього, що коли-небудь було на неї записано, але вклад кожного «шару» стає поступово все меншим, чим далі він був зроблений."

Існує дуже популярна аналогія перезапису даних з малюванням олівцем по написах на папері. Так, оригінальні записи на аркуші паперу видно дуже довго і навіть якщо їх дуже акуратно затерти, все одно можна спробувати прочитати їх фрагменти або вгадати окремі символі. І, схоже, Ґутманн теж піддався магії цієї аналогії. Але чи вона взагалі має сенс щодо магнітного запису?
Голівки не додають нових шарів під час запису, але змінюють порядок намагніченості одного магнітного шару. Повторне намагнічування не створює новий запис поверх попереднього, а руйнує його впорядковуючи полярність доменів та послідовність доменних стінок іншим способом. Таким чином, ця дія набагато більше схожа, наприклад на зміну символів із сірників шляхом їх перестановки, а аналогія з покриттям записів на папері олівцем є щонайменше - неадекватною.
Але чи справді голівки здатні безповоротно знищити попередній магнітний запис? Тут слід звернути увагу на співвідношення між величиною поля індукованого голівками та коерцитивною силою магнітного шару, тобто величиною магнітного поля необхідного для його розмагнічування. Коерцитивна сила кобальтових сплавів, які зазвичай використовуються в жорстких дисках, становить приблизно 0,5 — 0,6 Тл. Однак магнітні голівки здатні створювати поля понад 2 Тл. Крім того магнітні шари занадто тонкі (їхня товщина вимірюється десятками нанометрів), щоб було можливе стабільне існування двох або більше шарів доменів з різною поляризацією намагніченості. Для порівнання, розмагнічувачі, які створюють поля приблизно 1 Тл, достатні для знищення даних у процесі розмагнічування, навіть, якщо пластини екрановані металевими елементами корпусу.
Варто звернути увагу на диски з енергоприсутнім магнітним записом, які саме зараз з’являються на ринку — HAMR (анг. Heat Assisted Magnetic Recording – теплоприсутній магнітний запис) та MAMR (анг. Microwave Assisted Magnetic Recording – мікрохвильовоприсутній магнітний запис). Це диски, які використовують залізо-платинові сплави як магнітний шар, якого коерцитивна сила становить приблизно 6 Тл. В їхньому випадку, поле індуковане голівками явно занадто слабке, щоб перемагнічувати магнітний шар.
Тому запис у цих дисках відбувається за допомогою додаткового джерела енергії, яке дозволяє поверхні пластин локально нагріватись до температури близької до точки Кюрі. Точка Кюрі, це температура, при якій магнітний матеріал втрачає свою намагніченість і тому його в цій температурі набагато простіше перемагнічувати. Ця інформація важлива також для знищення даних шляхом розмагнічування. Оскільки диски з енергоприсутнім записом будуть стійкі до роботи популярних нині розмагнічувачів, необхідно розробити нові пристрої для результативного знищення даних в майбутньому.



Міст надто далеко...



"The general concept behind an overwriting scheme is to flip each magnetic domain on the disk back and forth as much as possible (this is the basic idea behind degaussing) without writing the same pattern twice in a row."

"Загальна концепція схеми перезапису полягає в тому, щоб перевертати кожен магнітний домен на диску вперед та назад наскільки це можливо (це основна ідея розмагнічування), не записуючи той самий шаблон двічі поспіль."

Навіщо Ґутманн тут плутає перезапис даних з розмагнічуванням? Намагніченість магнітної речовини можна розглядати в двох аспектах. У макромасштабі тіло вважатиметься намагніченим, якщо воно само індукує магнітне поле. Воно матиме ненульову намагніченість внаслідок упорядкування намагніченості його магнітних доменів. У цьому сенсі пластини жорстких дисків ненамагнічені. Це можна легко перевірити спостерігаючи, як пластини зняті з жорсткого диска взаємодіють з металами, які повинні реагувати на зовнішнє магнітне поле.
В наномасштабі кожне магнітне тіло певним чином намагнічене. Якщо намагніченість не надається зовнішнім магнітним полем, магнітні домени утворюються спонтанно, а індуковані ними поля взаємно компенсуються. Тому в такому випадку зовнішньої намагніченості тіла масштабу макро не спостерігається.
Магнітний запис передбачає упорядкування магнітних доменів таким чином, щоб вони представляли собою бажані логічні стани, які можна інтерпретувати як конкретну інформацію. Функціональний жорсткий диск завжди має упорядковану намагніченість та завжди містить деяку інформацію, навіть, якщо на рівні логічних структур вважається порожнім. Диск на кожну команду зчитування сектора віддає його вміст не зважаючи на спосіб його інтерпретації.
Розмагнічування передбачає вплив електромагнітного імпульсу таким чином, щоб цілком зруйнувати цей порядок, в результаті чого магнітні домени на пластині залишаються в стані хаотичної намагніченості. Таку намагніченість неможливо інтерпретувати, тому з диска після розмагнічування нічого не можна прочитати. Розмагнічування руйнує також інформацію серво, тому голівки не можуть знайти сервосигнал та починають стукати. Диск після розмагнічування стає непридатним до використання.
В свою чергу, перезапис знищує дані шляхом заміни наявного впорядкування намагніченості іншим. У результаті дані можливо логічно інтерпретувати, але вони представляють собою марний набір інформації. Однак для знищення даних непотрібно змінювати поляризацію кожного магнітного домену. Достатньо, якщо домени розташовані інакше ніж на початку.
Розмагнічування та перезапис — це два різні методи знищення даних, у яких мета досягається різними способами. Розмагнічування вимагає зовнішнього пристрою, який повністю руйнує порядок намагнічування, а отже руйнує й сам диск. Перезапис лише змінює порядок намагніченості перезаписаних секторів, залишаючи недотроканими структури, що необхідні для правильної роботи диска. Крім того перезапис дозволяє вибіркове знищення даних, наприклад окремих файлів, без необхідності знищення всього вмісту накопичувача.



Ще один міст...



"To erase magnetic media, we need to overwrite it many times with alternating patterns in order to expose it to a magnetic field oscillating fast enough that it does the desired flipping of the magnetic domains in a reasonable amount of time. Unfortunately, there is a complication in that we need to saturate the disk surface to the greatest depth possible, and very high frequency signals only "scratch the surface" of the magnetic medium (...). Disk drive manufacturers, in trying to achieve ever-higher densities, use the highest possible frequencies, whereas we really require the lowest frequency a disk drive can produce. Even this is still rather high. The best we can do is to use the lowest frequency possible for overwrites, to penetrate as deeply as possible into the recording medium."

"Щоб стерти магнітний носій, потрібно багато разів перезаписати його змінними шаблонами, щоб піддати його магнітному полю, яке коливається достатньо швидко, щоб виконати бажане перевертання магнітних доменів протягом прийнятного проміжку часу. На жаль є складність в тому, що потрібно наситити поверхню диска на максимальну глибину, а дуже високочастотні сигнали тільки «драпають поверхню» магнітного носія (...). Виробники дисків намагаючися досягти все більшої щільності, використовують найвищі можливі частоти, тоді як нам дійсно потрібна найнижча частота, яку може створити диск. Навіть і вона все ще є досіть високою. Найкраще, що можна зробити, це використовувати найнижчу можливу частоту для перезапису, щоб проникнути якомога глибше в носій."

Як вже вище вказано, для руйнування запису даних у магнітному записі важлива не зміна поляризації окремих магнітних доменів, а переміщення доменних стінок. Крім того частота магнітного поля, що використовується для запису даних, залежить від частоти записуваного сигналу. З огляду на кількаетапний процес кодування даних, отримання сигналу з найнижчою або найвищою можливою частотою (що містить відповідно найменшу або найбільшу кількість логічних одиниць у порівнянні з нулями) вимагатиме розуміння та врахування всіх етапів кодування, в тому числі й рандомізації.
Сама ідея, швидше за все, походить від методу розмагнічування магнітних тіл у макромасштабі. Оскільки розмагнічування такого тіла впливаючи на нього полем, яке точно відповідає його коерцитивній силі реалізувати дуже важко, а змінити поляризацію намагніченості на протилежну сильнішим полем — набагато легче, для розмагнічування тіл використовується поле високої частоти з напруженістю, що спадає. Таким чином, з кожною зміною полярності тіло намагнічується все менше (залишкова намагніченість падає від насичення до стану близького до нуля).
У випадку жорстких дисків цей процес неможливий, оскільки голівки індукують магнітне поле на поверхні пластин, які обертаються під ними. Тому час, протягом якого дана ділянка підлягає намагніченню, залежить в першу чергу від швидкості обертання пластин, а ні від частоти поля. Крім того магнітний шар занадто тонкий, щоб не намагнічувався до насичення під впливом поля індукованого голівками вже в першому проході. Це особливо стосується перпендикулярного запису, в якому вектор полярності намагніченості перпендикулярний до поверхні пластини, тому самі домені розташованні в магнітному шарі вертикально.
В своїй статті Ґутманн з одного боку чимало разів посилається на певні елементи процесу кодування даних, але з іншого боку він трактує це питання дуже довільно, часто підводячи кодування під тезу про необхідність багаторазового перезапису даних для їх безпечного знищення. Він також в основному ігнорує ключові для кодування RLL процеси зміни розміру, з’єднування та поділу магнітних доменів. Одночасно Ґутманн надто зосереджується на процесі реверсування поляризації доменів, через що в його міркуваннях бракує зв’язності.



Коди корекції ЕСС



“Therefore even if some data is reliably erased, it may be possible to recover it using the built-in error-correction capabilities of the drive.”

"Таким чином навіть, якщо деякі дані надійно стерто, їх можливо відновити за допомогою вбудованих у диск функцій виправлення помилок."

Ця думка — черговий приклад надмірно розслабленого підходу Ґутманна до питання кодування даних. Наведене вище речення передбачає можливість видалення вмісту сектора залишаючи пов’язані з ним коди виправлення помилок. Це неможливо, оскільки коди корекції обчислюються на етапі кодування даних та додаються до сектора ще перед формуванням сигналу, який буде індукований голівкою та записаний на поверхні пластини. Перезаписуючи сектор іншим вмістом також завжди перезаписуються й пов’язані з цим вмістом коди корекції.
В старих моделях дисків існувала можливість навмисного генерування неправильних контрольних сум та записування секторів, яких коди виправлення помилок не збігаються зі зберіганими даними. Хоча такі сектори неможливо правильно прочитати (при спробі їх прочитати диск звітує помилку UNC), коди корекції пов’язані з попереднім вмістом знищуються замічюючись новими. Ця можливість реалізована наприклад в програмі MHDD за допомогою команд «MAKEBAD», яка створює «пошкоджений» сектор в точно вказаної адресі LBA (анг. Logical Block Addressing – адресація в логічних блоках) або «RANDOMBAD», яка створює «пошкоджені» сектори у випадкових місцях.
Крім того Ґутманн явно переоцінює корекційні можливості кодів виправлення помилок. Хоча коди корекції дозволяють знаходити та виправляти бітові помилки, це стосується обмеженої кількості помилок, які винікають в існуючих та читабельних секторах. Типово вживані в 1990-х роках коди Ріда — Соломона (Reed-Solomon) можуть виправляти близько 200 бітових помилок на сектор. Якщо кількість помилок перевищує можливості їх виправлення, диск видає помилку UNC. Цього очевидно недостатньо для спроби реконструкції вмісту неіснуючого сектора виключно на основі його кодів корекції. Також треба мати на увазі, що помилки можуть траплятися й у самому коді виправлення.



Висновок



"Data which is overwritten an arbitrary large number of times can still be recovered provided that the new data isn't written to the same location as the original data..."

"Дані перезаписані будь-яку кількість разів все ще можна відновити, за умови, що нові дані не зберігаються в тому самому місці, що оригінальні дані..."

У цьому реченні Ґутманн явно сам собі суперечить. Міркує, що дані перезаписані будь-яку кількість разів можливо відновити, ставлячи при тому умову, щоб у це саме місце не були записані нові дані. Але суть перезапису полягає в тому, щоб у місце старих даних записати нові. Навіть, якщо нові дані, це неінтерпретувальний логічно шаблон, то для диску, це такий сам потік даних, як і кожен інший. Було б дуже дивно, якби Ґутманн цього не розумів. З іншого боку це речення підриває сенс багаторазового перезапису та підтверджує, що вже перший прохід перезапису безповоротно знищує дані.



PRML – часткова відповідь — максимальна ймовірність



"The article states that «The encoding of hard disks is provided using PRML and EPRML», but at the time the Usenix article was written MFM and RLL was the standard hard drive encoding technique... "

"В статті зазначено, що «Кодування в жорстких дисках використовує PRML та EPRML», але на момент написання статті для Usenix стандартною технікою кодування для жорстких дисків були MFM та RLL…"

В епілозі Ґутманн посилається на статтю Крейґа Райта (Craig Wright), Дейва Клеймана (Dave Kleiman) та Рамаджада Срінівасана Шьяма Сундхара (Ramajad Srinivasan Shyaam Sundhar) "Overwriting Hard Drive Data: The Great Wiping Controversy". Автори цієї публікації практично перевірили припущення Ґутманна та продемонстрували неможливість відновлення перезаписаних даних шляхом мікромагнітного аналізу поверхні пластини з метою пошуку слідів попереднього намагнічування. До речи, также й вони досить вільно підійшли до питання кодування даних, але детальний коментар до їх публікації виходить поза рамки цієї статті.
Ґутманн зазначає, що дослідження описані у вказаної вище публікації є неадекватними та не повинні ставити під сумнів його висновки, оскільки досліджувані диски використовували PRML (анг. Partial Response – Maximum Likelihood – часткова відповідь — максимальна ймовірність), тоді як на той час, коли він сам писав свою статтю, стандартними методами кодування даних були MFM та RLL. Це невиправдане звинувачення, оскільки PRML не є методом кодування даних та не замінює ні MFM, ні RLL. PRML використовується для виявлення та декодування сигналу, замінюючи старіший метод виявлення піків (анг. peak-detection) імпульсів. Цей метод використовувався з початку 1990-х років і, отже, не повинен бути невідомим Ґутманну в році 1996. Метод кодування MFM був витіснений з жорстких дисків методом RLL вже в середині 1980-х, а в середині 1990-х років використовувався лише на дискетах.
В перші десятиліття жорстких дисків щільність запису була низькою, а домени були досить великими, тому доменні стінки розташовувалися на відносно великих відстанях. Тому вони видавали чіткі імпульси з високими амплітудами та чітко виявленими піками в сигналі. Збільшення щільності призвело до погіршення співвідношення сигнал/шум. Додатково введення кодування RLL усунуло тактовий компонент сигналу, що збільшило ризик десинхронізації сигналу та помилок обчислення декодером кількості нулів між послідовними одиницями. Тому метод виявлення піків виявився недостатнім та був замінений методом PRML.
PRML, це метод, який дозволяє визначити максимальну ймовірність форми сигналу читаного з частковою відповіддю. Цей метод не зосереджується на самої фіксації чергових піків імпульсів, а аналізує всю форму сигналу та намагається виявити найбільш вірогідний розподіл імпульсів. PRML, на відміну від виявлення піків, не використовує опорні порогові значення, але аналізує всю форму сигналу та висоту амплітуд всіх імпульсів і на цій основі визначає, які з них походять від записаного сигналу, а які від фонового шуму. При цьому використовується знання методу кодування даних під час запису, що дозволяє відразу відхиляти варіанти сигналу несумісні з методом кодування.
Те, що Ґутманн саме на цій основі поставив під сумнів результати вказаних вище досліджень, доказує лише те, що навіть після 2008 року йому не вистачало зрозуміння процесу обробки сигналу та кодування даних у жорстких дисках. Припущення, що PRML замінює RLL, є такою ж помилкою, як наприклад твердження, що черепичний запис замінює перпендикулярний. Після публікації цих досліджень інтерес до спроб відновлення перезаписаних даних за допомогою магнітно-силової мікроскопії практично зник. Подібним чином зник й інтерес до осцилографічних досліджень після публікації результатів праці Коженевського.



Справжні ризики перезапису даних.



Вище вказане не означає, що перезапис даних вільний від будь-яких ризиків, чи загроз. Завжди можливі помилки оператора, неконтрольовані переривання процесу, збої пристроїв та програмного забезпечення або навмисні дії спрямовані на запобігання результативному знищенню даних. Існують також ризики пов'язані з можливістю, що дані випадково опиняться або будуть навмисно приховані за межами адресації LBA.
Дані можна вмістити за межами адресації LBA наприклад за допомогою функцій DCO (анг. Device Configuration Overlay – оверлей конфігурації пристрою) або HPA (анг. Host Protected Area – область захищена гостом). У випадку дисків з черепичним записом застарілі дані можуть неконтрольовано зберігатися за межами адресації LBA, а їх розташування залежить від внутрішніх процесів управління трансляцією адресації LBA на фізичну. На кожному диску є також сектори, які не отримали номеру LBA. Це наприклад резервні сектори або сектори в кінці диска, яких більше, ніж потрібно для досягнення номінальної ємності. Невелику порцію даних можна теж приховати в сервісної зоні.
Такі сектори можна використовувати для навмисного приховання інформації, але як для самого приховування даних, так і для їх подальшого зчитування необхідні відповідні знання прошивки диска та вміння працювати безпосередньо з фізичною адресацією. Однак багаторазові перезаписи не захищають від жодного з вищезазначених ризиків. Підвищення безпеки процесу знищення даних повинно бути зосереджено насамперед на перезаписі секторів у фізичної адресації. Тому, якщо непотрібно вибірково видаляти окремі файли, краще знищити вміст диска процедурою Secure Erase, яка працює у фізичній адресації. Дані результативно знищує вже перший прохід перезапису. Кожен наступний, це лише зайві витрати та марна втрата часу. І це достатній привід, щоб остаточно викинути алгоритм Ґутманна в кошик.



Література:



1] Gutmann, P.: Secure Deletion of Data from Magnetic and Solid-State Memory. Proceedings of the Sixth USENIX Security Symposium, San Jose, CA, July 22-25, (1996),
2] Коженевський, С. Р.: Взгляд на жёсткий диск "изнутри". Магнитные головки, ООО "ЕПОС", Київ (2009).
3] Gomez, R., Adly, A., Mayergoyz, I., Burke, E.: Magnetic Force Scanning Tunnelling Microscope Imaging of Overwritten Data, IEEE Transactions on Magnetics 28(5), (1992),
4] Gomez, R., Burke, E., Adly, A., Mayergoyz, I., Gorczyca, J.: Microscopic Investigations of Overwritten Data, Journal of Applied Physics 73(10), 6001 (1993),
5] Bertram, H. N.: Theory of Magnetic Recording, Cambridge University Press, London (1994),
6] Bertram, H. N., Fiedler, L. D.: Amplitude and bit shift spectra comparision in thin metalic media, IEEE Transactions on Magnetics 19(5) (1983),
7] Коженевський, С. Р.: Взгляд на жёсткий диск "изнутри". Перезапись информации, ООО "ЕПОС", Київ (2006),
8] Khizroev, S., Litvinov, D.: Perpendicular magnetic recording, Kluiwer Academic Publishers, Dordrecht (2004),
9] Schouhamer Immink, K. A.: Codes for Mass Data Storage Systems, Shannon Foundation Publishers, Eindhoven (2004),
10] Vasić, B., Kurtas, E. M.: Coding and signal processing for magnetic recording systems, CRC Press LLC, Boca Raton (2005),
11] Wu, Z.: Coding and Iterative Detection for Magnetic Recording Channels, Springer Science + Business Media LLC, New York (2000),
12] Sobey, Ch. H.: Drive-Independent Data Recovery: The Current State-of-the-Art, IEEE Transactions on Magnetics 42(2), (2006),
13] Mayergoyz, I. D., Tse, C.: Spin-stand Microscopy of Hard Disk Data, Elsevier Science Ltd., Amsterdam (2007),
14] Amer, A., Holliday, J., Long, D. D. E., Miller E. L., Paris, J-F., Schwartz, T. S. J.: Data Management and Layout for Shingled Magnetic Recording, IEEE Transactions on Magnetics, 47(10), (2011),
15] Miura, K., Yamamoto, E., Aoi, H., Muraoka, H.: Skew angle effect in shingled writting magnetic recording, Physics Procedia 16, (2011),
16] Коженевський, С. Р.: Взгляд на жёсткий диск "изнутри". Механика и сервосистема, ООО "ЕПОС", Київ (2007).
17] Mamun, al, A., Guo, G. X., Bi, Ch.: Hard Disk Drive Mechatronics and Control, CRC Press, Boca Raton, (2006),
18] Chen, B. M., Lee, T. H., Peng, K., Venkataramanan, V.: Hard Disk Drive Servo Systems, Springer-Verlag, London, (2006),
19] Du, C., Pang, C. K., Multi-Stage Actuation Systems and Control, CRC Press, Boca Raton, (2019),
20] Plumer, M. L., Ek van, J., Weller, D.: The physics of ultra-high-density magnetic recording, Springer-Verlag, Berlin (2001),
21] Ababei, R.-V., Ellis, M. O. A., Evans, R. F. L., Chantrell, R. W.: Anomalous damping dependence of the switching time in Fe/FePt bilayer recording media, Physical Review B99 024427 (2019),
22] Riggle, C. M., McCarthy, S. G.: Design of Error Correction Systems for Disk Drives, IEEE Transactions on Magnetics 34(4), (1998),
23] Wright, C., Kleiman, D., Shyaam Sundhar, R. S.: Overwriting Hard Drive Data: The Great Wiping Controversy. R. Sekar and A.K. Pujari (Eds.): ICISS 2008, LNCS 5352, Springer-Verlag Berlin, Heidelberg (2008), 24] Sugawara, T., Yamagishi, M., Mutoh, H., Shimoda, K., Mizoshita, Y.: Viterbi detector including PRML and EPRML, IEEE Transactions on Magnetics 29(6), (1993),
25] Gupta, M. R., Hoeschele, M. D., Rogers, M. K: Hidden Disk Areas: HPA and DCO. International Journal of Digital Evidence 5(1), (2006).