Eine 8KB oder eine 8MB Schlüsseldatei ist schon ein grosser Unterschied
--keyfile-size 8192 ist 8192 Bytes (also 8KiB), das Limit für Schlüsseldateien liegt bei ca. 8MiB, abhängig davon wie cryptsetup gebaut wurde. Google brauchst du nicht bemühen, die Limits werden bei cryptsetup --help
angezeigt.
Derart große Keys werden im ersten Schritt mit einer Hashfunktion reduziert. Es ist also möglich aus dem großen Key ein viel kleineren Key zu erzeugen der auch als gültiger Key akzeptiert wird. Oder zumindest war es bei LUKS 1 noch so, schon länger nicht mehr getestet.
Ist ein Laufwerk oder eine Datei mit getrenntem header überhaupt als LUKS Datei zuerkennen oder sieht das nur nach wirren Daten aus?
Bei einem externen Header mit Offset 0 hast du keine Header oder Erkennungsmerkmale. Identifizierung des Zielgeräts ist dann nur über die Partitionstabelle (PARTUUID/PARTLABEL) möglich.
Wenn es nicht um Plausible Deniability geht, würde ich den Header auf der Partition belassen. Dieser kann mit luksErase / luksRemoveKey unbrauchbar gemacht werden. Es sieht dann also nach LUKS aus, kann aber trotzdem nur mit dem externen Header geöffnet werden. Aber dann hast du wenigstens noch eine UUID und es gibt keine Verwechslungen.
Externe Header sind insgesamt eine Nischenlösung und nicht gut unterstützt.