¿Cifrado de disco completo frente a cifrado de partición dirigido para expertos en seguridad?

Simplemente cifraría todo el disco. Hay una pequeña sobrecarga que, a menos que mida los tiempos de carga, no puede saber si el disco está encriptado o no ¹ . Tener un módulo de kernel personalizado que inspeccione cada operación de escritura y redireccione el destino a /home seguramente tendrá una mayor penalización en el rendimiento.

El cifrado de todo el disco evitará la "fuga de datos", cuando guarde los datos en la partición incorrecta por error y tenga que moverlos al lugar correcto, y elimine de forma segura el archivo original (a menos que tenga un SSD que lo haga seguro) -eliminar inútil). Evita la carga mental de memorizar diferentes contraseñas para diferentes particiones.

¹ Hice una prueba rápida en mi computadora, usando dd iflag=direct para leer 16MB de un sistema de archivos cifrado y otro sin cifrar, la diferencia fue de aproximadamente 2.5% (promedio entre 5 carreras). Mint 19, disco duro basado en placas oxidadas, ext4, carga de trabajo muy baja.

No está claro cómo está definiendo "expertos en seguridad". Ese término puede significar diferentes cosas para diferentes personas. Parece más bien que estás preguntando sobre usuarios avanzados de Linux que saben cómo crear esquemas de cifrado granulares.

Al igual que con cualquier cosa relacionada con la seguridad, al menos en parte depende de la amenaza contra la que intenta protegerse.

Si tiene una computadora portátil que lleva en todas partes y para la cual es el único operador, puede optar por mantener la mayor parte o la totalidad de la misma encriptada. Considerando que, su estación de trabajo en su lugar de trabajo, o su caja kodi en casa, no puede exigir el mismo nivel de seguridad. Y si te enfrentas a actores a nivel estatal, es un juego completamente diferente a solo querer poder protegerte contra robos ocasionales.

También debe considerar el hardware. Las unidades de estado sólido no funcionan especialmente bien con el cifrado.

En varias de mis máquinas tengo una combinación de unidades de disco rotativas y SSD. Puse /var , /home y swap en las particiones LUKS en las unidades rotativas más grandes y puse / en un SSD. Dado mi modelo de amenazas, esto parece ser un buen compromiso entre obtener la mayor utilidad de los SSD y al mismo tiempo mantener los datos más importantes razonablemente seguros.

Mencionas directorios como /tmp . Dependiendo de su configuración / distribución, a menudo será un tmpfs, es decir, se mantendrá en la memoria. En ese caso, será rápido y no será necesario cifrarlo. Si te enfrentas a un actor que puede realizar ataques de arranque en frío y extraer el contenido de un tmpfs, bueno, supongo que tendrás que pensar en cómo protegerte de eso.

Si te enfrentas a un actor de nivel estatal y nunca tienes una procedencia completa sobre los componentes físicos del dispositivo durante toda su vida útil, todas las apuestas están desactivadas.