Você precisa do kernel corrigido, do losetup e do mount. O pacote é normalmente chamado de util-linux, você pode obter os patches de aqui . Se você não quer arrancar a partir de um dispositivo loop-aes é muito simples:
# Write 65 lines of random data to keyfile.txt This will be used as a key for
# the data on the disk and your password will be as a key for this file.
# You will need this file and the password to access your data.
# Keep them safe.
gpg -c --cipher-algo aes256 --digest-algo sha512 < keyfile.txt > keyfile.gpg
rm keyfile.txt # Better if you never write this to disk in the first place.
losetup -e aes256 -H sha512 -K keyfile.gpg /dev/loopX /dev/sdXX
mke2fs -t ext4 /dev/loopX
mount /dev/loopX /mnt
# To mount it later
mount -o loop=/dev/loopX,encryption=aes256,hash=sha512,gpgkey=keyfile.gpg /dev/sdXX /mnt
Se você deseja criptografar a partição raiz, recomendo a leitura da extensa documentação . Basicamente, você precisará criar um initramfs e armazená-lo em uma partição de boot não criptografada.
Você pode armazenar o keyfile.gpg (e a partição de inicialização, se decidir criptografar a raiz) em um dispositivo USB removível.