Moin,
Ich würde ein ganz normal Arch Linux mit disk encryption installieren (ich liebe Manjaro i3 aber das ist geschmackssache) und in einem Veracrypt/Truecrypt container eine VM mit Whonix laufen lassen.
Du kannst auch Kali Linux über den Whonix Gateway tunneln. Würde ich aber nicht empfehlen.

MFG