Как запустить скрипт от имени пользователя с ограниченными правами?

Я думаю, что все, что вы делаете в <(cat HEADER), на самом деле делает не то, что вы думаете. Вот причины, по которым я так считаю:

luksOpen <устройство> <имя> (старый синтаксис)

Открывает LUKS-устройство device и устанавливает сопоставление name после успешной проверки предоставленной парольной фразы. Если парольная фраза не была предоставлена через --key-file, команда запрашивает ее интерактивно.

ПРИМЕЧАНИЯ ПО ИСПОЛЬЗОВАНИЮ БЛОЧНЫХ УСТРОЙСТВ

Cryptsetup обычно используется непосредственно на блочном устройстве (раздел диска или том LVM). Однако, если аргументом устройства является файл, cryptsetup пытается выделить устройство обратной петли и отобразить его в этот файл. Этот режим требует ядра Linux версии 2.6.25 или более поздней, поддерживающей флаг (устройство шлейфа очищается при последнем закрытии автоматически). Конечно, вы всегда можете сопоставить файл с устройством цикла вручную.

Почему-то кажется, что вы генерируете больше аргументов, чем собираетесь, или меньше, потому что, как кажется, cryptsetup каким-то образом ассоциирует ваш аргумент устройства как файл, а не как блочное устройство, и поэтому пытается смонтировать его через loopback.