> Фейковый загрузчик при первой загрузке не будет знать что в шифрованом /boot,
> только пароль/ключ для его расшифровки успеет украсть.
> На grub cmd пытаюсь навалять простенький скрипт, с проверкой. Если проверка не
> прошла, то вывод сообщения и команда halt. При первой загрузке зловредный
> буткит ничего не знает о проверке, сообщении и команде halt.

Т.е. надеемся на "security by obscrutity" или на эффект "неуловимого Джо"  - т.е. на то, что никто не напишет спецзагрузчик? ;)

Хотя, если само сообщение не типовое "Все ОК, хозяин!", а служит вторым контрольным фактором (или как оно правильно называется) , т.е. задается индивидуально, не зависит от вводимого ключа, хранится в секрете и по его (отсутствующему или не соотв.) выводу можно увидеть, что загрузчик был заменен, то да.
Единственное неудобство - вынужденный вывод на экран и возможность довольно легко подсмотреть посторонним.