Имеется Raspberry Pi 3, которая загружается с micro sd. Требуется создать 2 партиции:

1. на одной будет ядро и системный софт, и надо исключить возможность перезаписи файлов и внесения каких-либо изменений на этой партиции, ну или по крайней мере сильно усложнить такую возможность, как во время работы устройства, так и при извлечении micro sd из устройства и попытке её монтирования и изменения на стороннем устройстве. Также желательно исключить возможность загрузки с данной micro sd на других устройствах.
2. на другой /home /var/log /tmp, т.е. любые данные, перезаписываемые во время работы устройства.

Как вариант, сделать шифрованную партицию и собственную сборку u-boot с зашитым в исходниках ключом для монтирования шифрованной файловой системы. Как лучше реализовать такое решение или посоветуйте ваш вариант, в какую сторону копать?