Com os métodos atuais para implementar a criptografia em volumes LVM, não é possível criptografar /boot . Se isso acontecesse, seria impossível inicializar o sistema operacional, a menos que o hardware da placa-mãe o suporte. Eu não vi ou ouvi falar de hardware que possa fazer isso até agora, mas pode existir.
A partir do Archwiki : Na maioria das configurações, uma partição dedicada / de inicialização não é necessária, mas está em uma configuração complexa como essa, porque o GRUB precisa ser capaz de ler o kernel, o initramfs, seus próprios arquivos de configuração, etc. a partir do diretório / boot. Como o GRUB não sabe como desbloquear uma partição LUKS (essa é a tarefa do kernel), o / boot não deve ser criptografado e, portanto, deve ser uma partição de disco separada.
O que isto significa é que, para que o seu sistema operacional seja inicializado, o gerenciador de inicialização precisa ler suas próprias configurações, que ele encontra em /boot , e não pode fazer isso se o volume estiver criptografado. Isso é verdade, não importa qual rotina / método de criptografia você usa.
Isso é uma fraqueza? Sim. É possível instalar algum tipo de sniffer de senha para /boot , mas o LVM criptografado não foi projetado para protegê-lo contra isso. Se você é tão paranóico, alguém que tenha acesso físico à sua máquina ou root de acesso ao seu sistema enquanto estiver em execução, forçará você a assumir que foi comprometido.
Esta pode ser uma conclusão errada da minha parte, mas acho que a criptografia em partições LVM é feita no caso de você perder seu computador ou ser roubado. Nesse caso, eles precisarão obter sua senha antes que possam acessar o conteúdo da unidade ou hackear a chave manualmente, o que é impossível, a menos que a pessoa tenha acesso ilimitado a recursos.