Ну, я бы частично с этим согласился, если бы часть приложений не исполняли бы постронний неизвестно кем написанный код (ака браузер с JS'ом). Реалии таковы, что мы это позволяем, а значит, не должно быть ситуации, чтобы приложение "под скринсейвером" могло читать ввод пароля в скринсейвере.