O Linux permite redefinir a raiz se você tiver acesso root, pois não há como impedi-la nem qualquer motivo para impedi-la. Acesso raiz significa que você tem permissão para fazer tudo. Tudo inclui alterar a senha do root. Você não precisa da senha de root para alterar a senha do root, apenas para ter acesso à conta root - e se você tem acesso à conta root de uma maneira diferente, então você pode mudar a senha root porque, mais uma vez, root pode faça tudo.
Não há como se proteger contra isso porque seria uma impossibilidade lógica. Se você pode fazer tudo, você pode alterar a senha do root. Obviamente, é possível conceder a alguém acesso limitado que não permita a alteração da senha de root, mas eles não teriam acesso root, eles teriam apenas uma conta sem privilégios.
O próprio Linux normalmente não permite o acesso root se você tiver acesso físico. Esse é um recurso do bootloader : permite que alguém que tenha acesso ao console no momento da inicialização solicite um modo de recuperação especial, e dependendo de como esse modo de recuperação funciona, ele pode permitir acesso root sem autenticação. O modo de recuperação funciona instruindo o Linux a iniciar um conjunto diferente de programas durante a inicialização em comparação com a inicialização normal (a inicialização normal inclui muitos serviços, incluindo um prompt de login); O modo de recuperação mais "extremo" é adicionar init=/bin/sh à linha de comando do kernel, que instrui o Linux a executar um shell de root no console e nada mais.
O modo de recuperação pode ser desativado ou protegido por senha. Dessa forma, alguém com acesso ao console não terá acesso root, a menos que possa autenticar. Isso pode ser ignorado alterando a configuração do BIOS, portanto, para ser uma proteção eficaz, você também precisa bloquear a configuração do BIOS (evite alterar o dispositivo de inicialização ou alterar a configuração do BIOS sem digitar uma senha).
Isso é proteção suficiente contra alguém que possa acessar o teclado, mas não contra alguém que possa acessar fisicamente o computador em si. Eles podem puxar o disco rígido, montá-lo em outra máquina e examinar e alterar os arquivos para o seu lazer. Se você quiser se proteger contra isso, nenhuma verificação de senha ajudará você a: seu software não está em execução. Você pode se proteger contra isso criptografando o disco rígido. Então, para reiniciar o sistema para acessá-lo, o invasor teria que saber a senha da criptografia (ou inserir o cartão inteligente com a chave de criptografia). A desvantagem é que alguém tem que digitar a senha de criptografia ou inserir o cartão: você não pode ter criptografia útil e inicialização automática.