https://groups.google.com/forum/?pli=1#!topicsearchin/qubes-users/qubes$20dom0$20update/qubes-users/KeozFDjGva4 в двух словах: стартуем template vm , открываем в ней терминал и делаем passwd root.
В противном случае user->root изоляция в AppVM на основе этого темплейта по умолчанию не работает (su - даёт рута без пароля) - так и было задумано. В списке рассылки говорят, что проблем вызвать не должно.
Можно заодно глянуть сюда про настройку offline машинок с qubes:
https://groups.google.com/forum/?pli=1#!topicsearchin/qubes-users/qubes$20dom0$20update/qubes-users/SLQ4JJCx9pA Пост планирую обновлять по мере включения и настройки всякой всячины.