Кир aka Dober

Да, конечно. Наиболее простой вариант - создать на оставшемся свободном месте раздел (например, через gparted), отформатировать его в ext4 и монтировать куда-то после загрузки. Куда монтировать - зависит от типового использования. Если не получается обновиться (хотя это временная ситуация и должна быть исправлена) - можете перенести туда /var
Примерная последовательность:
Смотировали новый раздел в /tmp/new_var
Перенесли туда (не скопировали) содержимое/var/*
Отмонтировали new_var и смонтировали его уже в/var
Если все корректно - дописали в fstab
Процедура имеет смысл при загрузке в режиме persistence.

1. Одновременно - не получится, любой из LUKS-слотов расшифровывает диск. Какой при монтировании вы задействовали (с ключом или паролем) - тот и сработает.
2. Да, выносить /boot, в Debian - прекрасно работает (только не забывайте при обновлении вставлять флешку). Но это тоже "относительная" защита, не тянет она на двухфакторную, т.к. по сути, зная пароль, к данным получить доступ не составит труда. Поэтому имеет смысл критичные данные выносить на отдельный раздел, шифровать его с применением ключа. Ключ на флешке неочевидный файл, (постороннему, завладевшему флешкой должно быть абсолютно непонятно, что именно является ключом). Но корень шифруется с вводом пароля, поэтому, добраться до /etc/crypttab, в котором монтируется раздел (и указывается ключ), не зная пароля - не получится

В первую очередь Вам нужно учится администрировать ту операционную систему, на которой это будет реализовано. И уже во вторую разбираться в виртуализации, опять же, с учетом той модели, которая будет выбрана