Вы не можете отозвать права доступа у root. Это специальный пользователь, который по замыслу должен иметь доступ почти ко всему.
Посмотрите на https://wiki.archlinux.org/index.php/Dm-crypt/Specialties. Вы можете поменять хук mkninitcpio encrypt на encryptssh и затем добавить некоторые вещи в загрузочную строку ядра. Я использую хук dropbear и он работает довольно хорошо.