Встала банальная задача сохранности данных на ящике с Linux.

1.Защита БИОС стандартная паролем
2.Физическая защита системного блока замком.
3.Отключение usb и любой загрузки с внешнего устройства
4.Шифрование разделов Linux.

Остается вопрос за grub, ибо /boot Не зашифруешь.
Возможно ли сделать запрет на ручное изменение grub во время загрузки?

P/S

Погуглив некоторое время нашел
http://itshaman.ru/articles/14/password-grub

а что на хардах, какой проц и текущая загрузка

Это пока в проекте.
Сейчас курю ядерную физику. Возможно придется с защитой данных при попытке дублировании винта городить.

Какая взад ядерная физика, если с grub ничего ктоме тупого хранения бэкапов сделать нельзя? Ты с ним запускал хоть раз, например, поиск строки внутри файла? Он еще и не smp не держит. Защита от попыток дублирования - раид5 на 6 1.5тб дисков.

Ну у нас свои тараканы. Я про chroot имею ввиду при угоне винчестера. RAID не рассматривали из за того, что тачка отдается клиенту и нежелательно ее удорожание.

А на счет RAID... сам восстанавливал RAID ребятам убитый.
Сливал образы с 4 винтов и програмно их соединял в массив.

а как насчет шифрования пользовательских данных в контейнер, который монтируется как отдельная файловая система?

Кстати тоже тема! Вопрос в том что будет ключом для монтирования такой системы. Я бы склонился к чексумме оборудования ну или что-то вроде этого.

посмотри возможности truecrypt, может это как раз то что тебе надо. кстати она бесплатная.

Не годиться простое шифрование.
Дамп HDD и засовывание в виртуалку - система гостеприимно раскидывает ноги. Защита на флешке с truecrypt - дамп флешки!

может это будет звучать банально, но пароль на зашифрованый контейнер в 64 символа - должен помочь. Если конечно вы не опасаетесь того, что украдут так называемые "доверенные лица", знающие пароль, которым позволено работать с информацией. Вы что там - спутник запускаете?)
ну наконец, вариант с Pre-Boot Authentication - шифрование системы на уровне "до загрузки ОС", запрещающая чтение, изменение, выполнение файлов до ввода пароля. Пароль ввел один раз при загрузке - и работай. пускай себе делают потом дамп HDD - без пароля все равно не получат доступ к системе. Не помню точно, но вроде в truecrypt тоже есть.