Il sistema-attenzione-chiave è per lo più un residuo storico dei tempi della gioventù degli ingegneri che hanno progettato il SAK. Questi ingegneri, quando pensano alla sicurezza, in realtà pensano ai tempi in cui si dilettavano in sicurezza, e quello era quando erano studenti. Più precisamente, quando erano studenti negli anni '90. Quest'ultimo elemento è importante: negli anni '90, gli studenti di solito non avevano computer in rete, in particolare computer portatili; più comunemente, gli studenti condividevano una dozzina di postazioni di lavoro in una stanza dedicata. Gli studenti, essendo studenti, sono coinvolti nel tipo di cose che gli studenti fanno, in particolare impostando trappole e battute l'una sull'altra. "Rubare" la password di un co-studente era un gioco comune.
E gioco qui è una parola importante. Il punto non era proprio quello di avere la password per mettere in atto malizia, ma di dimostrare abilità tecniche a scopo vanitoso (la maggior parte delle attività umane, almeno da parte di persone di sesso maschile, sono fondamentali per ottenere o mantenere lo status maschile di Alpha, fino al punto di assurdità perché le stanze dei computer degli anni '90 erano singolarmente prive di qualsiasi femmina che avrebbe potuto essere corteggiata da una simile dimostrazione di abilità tecnica). Pertanto, il "furto della password" non deve essere efficiente ma elegante . Ciò includeva sistemi divertenti con cui un utente avrebbe mantenuto un'immagine della schermata di accesso come applicazione di base con il proprio nome, imitando quella vera e afferrando la password di altre persone - l'eleganza derivante dal fatto che l'attaccante non anche bisogno di diritti amministrativi locali ("privilegi di root"). Noterai che il SAK impedisce esattamente quell'attacco.
Gli attaccanti di vita reale non giocano così bene. Quando hanno accesso fisico a una macchina, prima ottengono l'accesso a livello di kernel, possibilmente danneggiando fisicamente la macchina (un'eresia impensabile per uno studente di computer), e se vogliono registrare le chiavi, lo fanno, indipendentemente dal SAK. Ma gli ingegneri che progettano i sistemi operativi ora pensano ancora in termini di giorni d'oro dei loro primi vent'anni; cercano di contrastare non gli attacchi pratici della vita reale, ma gli eleganti imbrogli di un'età più civilizzata.
Quindi il SAK è lì, soprattutto per dare una sensazione di sicurezza alle persone che immaginano attacchi e key logging come un gioco che hanno suonato due decenni fa e che ancora ricordano con affetto. Come la maggior parte delle cose nei computer, è lì per una questione di tradizione.
(Si noti che alcuni di questi ingegneri non hanno ottenuto incarichi nella progettazione di sistemi operativi, ma scrivendo specifiche di "regole di sicurezza" alle quali le organizzazioni devono conformarsi - per un effetto esageratamente esteso della tradizione persistente. perché ne hanno bisogno per rispettare alcuni regolamenti, anche se sanno che non ha molto senso.)
Ora, nella pratica , a che serve il SAK? Non molto. Si può ancora dire che la password di accesso di un utente sono dati sensibili - non perché concede l'accesso alla rete locale (un accesso che l'utente malintenzionato ha già, in virtù del dirottamento di una macchina che gira su quella rete), ma perché gli utenti avere l'abitudine di riutilizzare le password, direttamente o tramite una "regola" trasparente (se la password dell'utente sul server QZ982 è "PasswordQZ982", indovina quale sarà la password dell'utente sul server YH455?). Ma il SAK non è sufficiente per resistere alla registrazione dei tasti comunque.
La sicurezza è davvero aumentata, non da tentativi simil-SAK, ma da (come al solito) educare gli utenti, in particolare alla necessità di non riutilizzare le password.