"Desde que seu colega de quarto tenha acesso físico ao Mac e saiba o que está fazendo, não há como impedi-lo de invadi-lo"
Muito simples, todo sistema operacional comum e moderno tem maneiras de entrar nele - de konboot para alterar a senha, para o modo de usuário único. Quase não há como proteger um sistema com acesso físico. Você pode reduzir o risco configurando uma senha para permitir a inicialização e criptografando seu sistema de arquivos com o filtro. Isso tornará a invasão casual mais difícil.
Quanto ao acesso on-line - desative tudo o que você não precisa e configurar autenticação baseada em chave . Se você precisar de acesso remoto ao sistema, use apenas um túnel ssh. Não permitir logins remotos de root e permitir que apenas usuários específicos façam login . Eu também sugiro usar uma porta incomum para um pouco mais de obscuridade.