И винда его даже умеет

Линуксы пока весьма условно, никто не парится

Хотя в Андроиде что-то очень похожее есть

он, получается, полностью на tpm завязан?

Да, на x86, т.к. нужно где-то хранить инфу о предыдущих стадиях загрузки

Оно в PCR хранится

Их можно записать только один раз, они сохраняют значение до следующей перезагрузки

ну почему — ключ в железках (i.mx, к примеру), который генеришь и прошиваешь сам
грузит только подписанный загрузчик, потом им же проверяешь подпись у FIT бинарника с ядром/initrd, который уже нормально может расшифровать криптованный диск. Можно еще для файликов fs-verity заюзать или dm-verity (он вроде на андроидах и есть)... Вроде цепочка замкнулась. У нас что-то похожее еще и для x86_64 делали, но я не вдавался в подробности — надо будет спросить

а что из этого умеет убунта в инсталлере настраивать?

Ничего

тогда это всё ложь :(

Только LUKS

И то не уверен

э-э-э... а тебе рассказать, какой высоты колокольня, с которой мне ... э-э-э... всё равно на убунту? ;)

Федора точно умеет LUKS в инсталлере

вроде все умеют. и бубунта тоже

В арче ручками

Manjaro умеет

о! глянул по бубунте — вроде как штатно нету, но можно кривохаками

Вроде груб умеет пароль на рут спрашивать