Grub2 permite criptografar o dispositivo de inicialização com LUKS. Inicializando o sistema, ele mostra um prompt para inserir a senha. No meu caso, a senha deve ser segura, por isso é muito longa.
É possível - análogo ao cryptsetup do kernel - carregar uma chave LUKS de um dispositivo USB?
(É uma duplicata dehttps://stackoverflow.com/questions/29186720/grub2encrypt-boot-load-keyfile-from-usb-device, mas como mencionado, era o lugar errado.)