Nevím jestli v každé instalaci /verzi, ale podle příkladu co jsem vygooglil má proftpd v sample souboru ftpusers tohle:
Inclusion of 'root' here has limited functionality, to disable
# 'root' access use the proftpd.conf directive - RootLogin off
Takže roota můžeš zakázat i takhle (uvažuješ správně, je to z tohoto důvodu), nemusíš k tomu nutně použít ftpusers.
Co se týče blacklistu vs. whitelistu userů, o tom jsem nic nenašel - zdá se, že proftpd whitelist nepodporuje, ale jistě to říci nemůžu.