关于root密码忘记问题

这取决与于你的bootloader设置。
比如我使用的是systemd-boot，aka. gummiboot。如果我要提高安全性只需要在我的配置文件里写上一行
editor 0
这样别人在开机的时候就没有办法修改内核参数了。
类似grub也可以（RHEL默认就是），但是我不清楚配制怎么修改。

通常要求能直接接触到主机，才能在启动的时候修改内核参数。
或者，对方已经获得了root权限，才能修改你的引导配置。而且单用户模式记得是不会联网的，所以黑客去特意把你参数改成单用户再打到重启毫无意义。

物理接触是不能避免的！
即使像2楼那样禁止编辑启动菜单也没有卯用。插一个livecd启动优盘，随便修改系统配置。
可以对硬盘进行全盘加密。不过上个月luks还爆出漏洞，按回车键七十秒可以进入super shell。不过并不能过去加密分区的内容。
____________
建议你把笔记本藏到衣柜，反正让熊孩子拿不到就好。