> вот из-за таких ситуаций и придумали механизм проверки целостности бут загрузчика (secureboot), и не нужно никакое шифрование его.

Проблемы secureboot в том, что:
1. нужно подписать все участки кода, отвечающие за загрузку вплоть до того момента, когда расшифровываются данные (это по крайней мере сам загрузчик, ядро и initrd/initramfs);
2. secureboot можно выключить, а пользователь не будет при каждой загрузке проверять, не выключен ли он.

Если #1 в Windows выполним относительно легко (загрузочные программы почти никогда не меняются, хорошо протестированы и подписаны ключами Microsoft), то с Линуксами всё значительно сложнее — либо поддерживай свою PKI, самостоятельно подписывай все бинарники (сложность в загрузке своего ключа в bios/tpm и подписывании на другом компьютере, чтобы ключ не утёк), либо ограничиться в выборе и остановиться на тех дистрибутивах, где уже всё подписали.

Чтобы secureboot был полезен, нужно не только соблюсти все эти правила, но ещё и обеспечить проверку целостности остальной системы (корневого раздела). Ведь если он не будет зашифрован (или же шифрование не будет включать в себя проверку целостности), то злоумышленник сможет обеспечить исполнение своего кода уже после того, как отработали загрузочные программы.

#2 можно было бы решить, принудительно останавливая загрузку, когда Secure Boot выключен. Так было сделано на первых Chromebook — режим разработчика активировался аппаратным переключателем; это приводило к появлению сообщения вроде "внимание! ты разработчик! нажми такую-то кнопку для продолжения загрузки или верни переключатель обратно".