Сами пароли я не храню и сравниваю их с контрольной суммой. Согласен, надо бы и контрольную сумму считать на стороне клиента. В любом случае это защита от атаки на уровне траффика, но не от перехвата пакета в браузере. Если у меня есть валидная контрольная сумма, я могу послать её из браузера и получить все права, словно при успешной аутентикации. Можно похимичить и замутить номер сессии в контрольную сумму, но и это легко подделывается.