Bei RAID sollte /boot auch ein RAID sein (RAID 1 über 3 Festplatten) und Grub
auf jeder Platte installiert sein. Dann bootet die Kiste auch noch wenn eine
Platte stirbt. Bei dir nicht der Fall (wenns die einzige Platte mit /boot
erwischt).

Die RAID-md* sind dann verschlüsselt mit zufällig erzeugten Keyfiles. Die
Keyfiles wiederum liegen in einem verschlüsselten Container (LUKS-Loopfile)
auf /boot. Beim Booten wird dann nach einem Passwort gefragt, das den
Container aufmacht, und die Keyfiles darin machen wiederum die RAID-md* auf.

Wer also in meiner Abwesenheit am PC einen HW-Keylogger anklemmt hat von dem
mitgeloggten Passwort nichts, es sei denn er zieth sich auch gleich noch eine
Kopie vom USB-Stick. Da man für die Festplatten ja kein Passwort sondern die
Keyfiles braucht.

Auf dem USB-Stick sind dann auch gleich noch ein paar Linux-Live-CDs für
etwaige Reparaturarbeiten oder wenn man irgendwo unterwegs Zugriff auf einen
Rechner hat und den mit einem Reboot für die Dauer der Benutzung ins Linux
schicken will...