CityCat4

Смешались в кучу кони, люди... (С)

(T)rusted (P)latform (M)odule к шифрованию дисков не имеет ни малейшего отношения. Вообще.
"Получение root прав" через grub означает, что Вы вошли в систему в режиме single/emergency. Для отключения возможности входить в систему в этом режиме без пароля нужно дополнительно настроить grub

Не знаю, как тут сработает encryption, но для обычного раздела порядок действий будет таков:
- resize2fs на уменьшение vg-home. Это освободит часть блоков в группе томов. Насколько я помню resize2fs на уменьшение можно сделать только на отмонтированном томе, поэтому и не знаю, как тут encryption.
- lvchange на уменьшение vg-home ровно на столько, на сколько было resize2fs
- lvchange на увеличение vg-var
- resize2fs на увеличение vg-var - на увеличение можно и на смонтированной fs

Как защита от людей с условным паяльником

Чувак, ты плохо понимаешь как работают люди с паяльниками. И ошибочно предполагаешь, что те, кто к теюе придут, придерживаются логики.

Если к тебе пришли с паяльником, значит им нужен результат и не страшны последствия. Обьяснения, почему результата сейчас не будет - их не заинтересуют. "Паять" тебя будут либо до результата, который их удовлетворит, либо пока они не убедятся, что от тебя ничего не добиться (вполне возможно, что это наступит тогда, когда тебя уже не будет в живых).

Если это системное шифрование типа bitlocker и нету ни ключа расшифровки, ни пароля - никак :(

Забей.

Прову не нужны твои логины-пароли. Он их слил в СОРМ и живет спокойно. А те, кому они могут быть нужны, если что - придут, вежливо вынесут дверь и спросят :)

Вы имеете в виду - как трафик летит по мобильной сети? А не едино ли Вам? Простой человек его не перехватит, а тот, кто перехватит - он его и расшифрованный получит.

Это может быть намеренно попорченный base64

ЭЦП/Сертификат/Подпись и тд. могут ли использоваться для создания защищённых сессий? Просто если так, то что тогда, если допустим я обменялся с другим человеком открытым ключом сертификата RSA, т.е. он имеет возможность расшифровать подписанный мной документ и проверить хэш,

Разумеется. Это все стопицто раз описано в тырнете.

Есть Алиса и есть Боб. Предположим, у каждого сертификаты для подписи почты (это важно - у сертификата есть поле применяемости - если там не стоит что он для почты - хрен чего сделаешь), выпущенные ... ну допустим GlobalSign CA.

У Алисы есть свой сертификат (открытый ключ) и ключ (закрытый ключ). Сертификат свой Алиса может хоть на заборе писать, ключ же должна хранить пуще девственности.
У Боба тоже есть свой сертификат и свой ключ. И он его тоже должен беречь пуще ящика пива.

Алиса пишет письмо Бобу.

Сначала она набирает текст "Dear Bob, I'm very pleasant be fucked by you yesterday. I'd like to repeat ASAP"

Потом она шифрует свои откровения открытым ключом Боба, который у нее есть. Расшифровать обратно она уже не сможет - это сможет сделать только Боб своим закрытым ключом. На выходе - шифротекст.
Потом она подписывает шифротекст своим закрытым ключом. Эта операция не изменяет сам шифротекст, но позволит удостовериться в том, что он не изменился в процессе передачи.

Боб получает письмо и проверяет подпись открытым ключом Алисы. Если подпись проверена правильно, то это доказывает, что письмо на самом деле от Алисы, а не от Мэри, которая давно мечтает отдаться Бобу.
После проверки подписи Боб расшифровывает его своим закрытым ключом и читает.

Все. Шифрование и подпись документа, допустим делается так же, только сертификат ессно должен иметь применимость "шифрование документов".

для меня не подходят SSL | TLS

Считаешь себя умнее авторов openssl и разработчиков библиотек шифрования? Ну, удачи. Понятно, что хочется написать свой "невзламываемый" мессенджер, чтобы поиграть в шпиенов. Ну-ну...

Как только Ваш продукт станет интересен более чем полутора калекам - на него напишут кейген и все ваше шифрование пойдет лесом. Или сделают патч, который позволит принимать лицензию, даже если там написано слово #опа.
Единственный рабочий вариант - это проверять лицензию на сервере

Угу, опять решение задачи начинаем с хвоста :) Почему с хвоста? Потому что обычно вопросы, касающиеся ИБ, начинают с построения модели нарушителя, потом уже выбирается инструмент, а уже потом решаются технические проблемы...
VeraCrypt, в зависимости от выбранной модели нарушителя - может оказаться как недостаточным, так и чрезмерно избыточным инструментом...

В том же, видимо в чем и при установке на нешифрованные - легкость манипулирования резделами

Если Вы хотите скрыть трафик, идущий от Вас через VPN на VPS - Вы его уже скрыли. VPN - это грубо говоря непрозрачная труба, один конец которой у Вас, второй на VPS. Никто не может увидеть трафик, идущий по ней (если у него нет ключа шифрования).
Если Вы хотите скрыть факт использования VPN - то скорее всего никак. Можно использовать тор, прокси, еще один VPN - но задачу это не решает, наоборот использование тор или прокси ставит еще более жирную метку. (Примерно как одеть балаклаву с целью обмануть камеру наблюдения)

то есть ключи видны провайдеру при нашем первичном взаимодейтсвии

Нет.
Гуглите "асимметричная криптография". Она как раз и придумана для установления соединения по прослушиваемому каналу. В лоб в настоящий момент сломать https невозможно, поэтому и идут в ход всяческие хитрости с установкой госсертификатов :)
Но с тором пример неудачный - само по себе использование тора оно уже маркирует Вас как человека, за которым стоит последить...

что ЦС зашифровал своим ключом?

Ничего :)

CA подписал сертификат, сформированный на основе запроса на сертификат, переданного ему. Ключ же данного сертификата генерируется в момент формирования запроса на сертификат. Да, бывает что CA генерит и ключи тоже, но это вещь, которой доверить нельзя.

Зачем же тогда нужен CA?

СA своим авторитетом (разнятся CA только авторитетностью) подтверждает подлинность представленной ему в CSR информации и формирует на его основе сертификат. Технически разницы между Thawte и "Васян Инкоропрейтед" нет, разница только в том, кто кому верит. А сам сертификат - это просто информационный контейнер, защищенный от изменения.

Сначала, как всегда, уточняем модель нарушителя... Ну то есть от кого (чего) предполагаем защищаться? В одних слусаях это будет безопасно, в других нет, в третьих бесполезно etc.

Нет таких. Люди, которые взыскуют кроссплатформенности, не связываются с win-only решениями. Есть контейнерное шифрование TrueCrypt/VeraCrypt со всеми его достоинствами и недостатками.