Дело хорошее. Пару лет назад пытался собрать систему с разблокировкой LUKS по TPM PCR-ам из clevis и самопальных скриптов, напильника и какой-то там матери.При каждом обновлении ядра\initrd приходилось конечно спрашивать пассфразу, дабы разблочить шифрованный том (PCR-ы то меняются при обновлении ядра и\или initrd) и заодно забиндится на новые PCR-ы.
Конечно если пользователь перезагружается только для применения обновлений ядра, то вся конструкция несколько теряет смысл. Но была и более серьезная проблема - я на нашел PCR-ов, которые реагируют только на изменение ядреного cmdline. Есть такой(номерок правда не помню), но он помимо изменения cmdline реагировал на любой чих вроде подключения usb-устройства. А без контроля на cmdline можно спокойно поменять init на bash, загрузиться и спокойно сдампить PCR-ы, после чего использовать их для разблокировки с livecd...