Понимание простого dm-crypt, cryptsetup, mapping; безопасное стирание данных с использованием простого dm-crypt

Я наткнулся на это, пытаясь стереть весь мой диск, используя обычный dm-crypt, как предложено, например, здесь (arch linux wiki):

# cryptsetup open --type plain -d /dev/urandom /dev/sda to_be_wiped
# dd if=/dev/zero of=/dev/mapper/to_be_wiped status=progress

РЕДАКТИРОВАТЬ: см. Ниже, я проверил, что все настроено правильно

Я проверил первые несколько байтов моего диска /dev/sda и нашел некоторые старые данные на нем, поэтому я попробовал следующее (после запуска выше dd команда на 2 часа):

A.1 Стирание первой части диска вручную с помощью /dev/zero:

dd if=/dev/zero of=/dev/sda bs=512 count=2

А.2 Чтение первой части диска, чтобы убедиться, что оно обнулено. Это:

dd if=/dev/sda bs=512 count=2 | xxd

А.3 Чтение первой части сопоставленного устройства. (Это, кажется, также обнулено - ПОЧЕМУ? Разве это не должны быть "дешифрованные нули"?)

dd if=/dev/mapper/to_be_wiped bs=512 count=2 | xxd

После этого я сделал следующее:

B.1 Обнуление сопоставленного устройства /dev/mapper/to_be_wiped:

dd if=/dev/zero of=/dev/mapper/to_be_wiped bs=512 count=2

Б.2 Чтение /dev/sda как A.2 выше - все еще нули (ПОЧЕМУ? это не должно быть зашифрованными нулями, то есть случайными данными?).

B.3 Считывание зашифрованного устройства как A.3 выше - также нули (как ожидалось).

Четное syncИнг не меняет результат для моего жесткого диска. Поэтому я попробовал то же самое на файле. Здесь все, кажется, работает как ожидалось. Так что мне интересно...

Мой (главный) вопрос:

1. Где моя ошибка, я делаю что-то не так? Я предполагал шифрование по секторам, так что в первом случае 3 не должно обнуляться, а во втором случае 2 должно быть рандомизировано.

Это автоматически и неизбежно приводит к последующему вопросу

2. Тогда даже безопасно предположить, что вы можете безопасно протереть диск, используя этот метод?

Что может помочь на пути туда добраться:

• Разве не отображается отображение простого устройства dm-crypt по секторам, как указано в руководстве?
• Есть ли разница между использованием файла для dm-crypt, а не диска?

РЕДАКТИРОВАТЬ: я проверил, как предложил Xen2050, что все настроено правильно:

# cryptsetup -v status to_be_wiped 
/dev/mapper/to_be_wiped is active.
  type:    PLAIN
  cipher:  aes-cbc-essiv:sha256
  keysize: 256 bits
  key location: dm-crypt
  device:  /dev/sda
  sector size:  512
  offset:  0 sectors
  size:    976773168 sectors
  mode:    read/write
Command successful.

# dmsetup ls --target crypt
to_be_wiped (254, 0)

# lsblk
NAME          MAJ:MIN RM   SIZE RO TYPE  MOUNTPOINT
loop0           7:0    0 487.9M  1 loop  /run/archiso/sfs/airootfs
sda             8:0    0 465.8G  0 disk  
└─to_be_wiped 254:0    0 465.8G  0 crypt 
[...]

Устройство loop - из арки linux live stick, которую я использую, я удалил другие существующие диски из lsblk,

EDIT2: краткий пример с добавленным выводом (ниже). Разве dm-crypt не записывает на диск, если его не закрыть? Если да, то почему и как это изменить? Посмотрите на следующее:

root@archiso ~ # dd if=/dev/zero of=/dev/sda bs=8 count=2 status=none
root@archiso ~ # xxd -l 16 /dev/sda                                  
00000000: 0000 0000 0000 0000 0000 0000 0000 0000  ................
root@archiso ~ # cryptsetup open --type plain -d /dev/urandom /dev/sda to_be_wiped
root@archiso ~ # xxd -l 16 /dev/mapper/to_be_wiped                                
00000000: df52 0cc9 082a 0de2 1df7 b55f 7626 c45b  .R...*....._v&.[
root@archiso ~ # dd if=/dev/zero of=/dev/mapper/to_be_wiped bs=8 count=1 status=none 
root@archiso ~ # xxd -l 16 /dev/mapper/to_be_wiped                                  
00000000: 0000 0000 0000 0000 1df7 b55f 7626 c45b  ..........._v&.[
root@archiso ~ # xxd -l 16 /dev/sda               
00000000: 0000 0000 0000 0000 0000 0000 0000 0000  ................
root@archiso ~ # sync   
root@archiso ~ # grep -e Dirty: -e Writeback /proc/meminfo 
Dirty:                 0 kB
Writeback:             0 kB
WritebackTmp:          0 kB
root@archiso ~ # cat /sys/dev/block/8:0/stat
    1153        0    49276    19035        9        0       72     6763        0    19010    25747        0        0        0        0
root@archiso ~ # xxd -l 16 /dev/sda  
00000000: 0000 0000 0000 0000 0000 0000 0000 0000  ................
root@archiso ~ # cryptsetup close to_be_wiped                                     
root@archiso ~ # xxd -l 16 /dev/sda
00000000: c6d2 1e9b abf4 16a2 7d1a b1bd 8a28 63d8  ........}....(c.

EDIT3: я провел такой же тест, как и в EDIT2, с большим количеством данных и обнаружил следующее: кажется, что обычный dm-crypt не записывает первую половину мегабайта, пока не будет закрыт. Если я закрою подключенное устройство (cryptsetup close to_be_wiped) все рандомизировано. Странные вещи без каких-либо объяснений, особенно потому, что файлы, кажется, обрабатываются правильно / немедленно - кто-нибудь есть?

EDIT4: я использовал cryptsetup 2.0.6 на арке iso 2019.02.01 с февраля.