Применение терморектального криптоанализа - не более чем детеррент "а ты не используй шифрование и не занимайся прочей антисоветской деятельностью, и тогда, скорее всего, мы его к тебе не применим".

>В общих словах: диск полностью зашифрован (никаких efi и пр.).

Уже повод применить "улучшенные техники допроса".

>Загрузчик хранится на флешке.

А вот и доказательство.

>При вводе разных паролей загрузчик загружает разные скрытые системы.

Системы не пересекаются. Если нельзя расшифровать всё пространство, значит могут быть другие системы. Значит имеет смысл продолжать пытку - сам виноват, что не сотрудничаешь с инквизицией. Сотрудничество невозможно, заранее предпринял меры, чтобы оно было невозможно? Или просто не предпринял меры, позволяющие тебе в будущем деятельно раскаяться и убедительно дать показания? Ну значит, не сотрудничать со следствием для тебя важнее собственной жизни, получай то, что положено. Сам виноват. Уж сколько раз твердили - "ты обязан быть ура-патриотом". А ты не подчинился. А для инквизитора жизни таких имеют отрицательную ценность. Зачем ему человек, испытывающий ненависть к нему лично, и у которого есть мизерный, но положительный шанс воткнуть ему нож в псину? Данные он и так никогда расшифровать не сможет. В таком случае он может создать условия, при которых этот инструмент использовать никто никогда, кроме поехавших фанатиков (на которых срать, потому что чтобы поддерживать таких, надо самому быть поехавшим), не будет. Лучше быть казнённым, чем быть запытанным в назидание другим за несотрудничество с инквизицией.

>Либо: диск зашифрован не полностью, выглядит как обычная установка, обычный luks. Но загрузка со со специальной флешки позволяет запустить скрытую систему. Вот это была бы бомба! А этот Shufflecake -- тот же luks, только в профиль.

Это нереализуемо на практике в принципе. Для этого нужно иметь 2 ключа, расшифровывающих 2 различных несвязанных конкретных экземпляра данных из одного шифротекста. В случае одноразового блокнота с одинаковым размером ключа и данных и биективным отображением это невозможно. В случае блочного/поточного шифра из-за псевдослучайности (которая, будем честными, в реальности не существует, просто люди не умеют и не имеют ресурсов с ней работать) функций такие пары ключей фиксированной длины могут существовать, но с очень малой вероятностью. Не для всех пар данных, и даже не для большинства их. И даже если для твоей они существуют, у тебя во-первых не хватит ресурсов их найти, а во-вторых как только ты изменишь хотт один бит в данных, то эту пару во-первых придётся пересчитывать, а во-вторых с большой вероятностью такая пара ключей перестанет существовать.