Мысли в слух…
Собственно как работает на многих сайтах удержание сессии. Осуществляется вход и порождается сессия генерацией случайной строки, которая привязывается к каким либо переменым среды вроде ip адреса и др., и сохраняется или в адресной строке, или в куке, т.е. если кто то получает доступ к железу и имея эту сессию человек не может использовать её для злых целей. Примерно такой способ используется на facebook (то от чего клонировался контакт), где генерируется случайная строка и хранится собствено в кукисах.
Было время когда в куку писали прямо логин и пароль открытым текстом (сейчас таких сайтов хватает), иногда случается, что перехватывают эту куку не имея прямого доступа к компьютеру (как это другой вопрос), и я уже думал такое время прошло, но… сегодня обнаружил что на контакте она хранится почти точно так же:
remixemail моё_мыло
remixpass md5(мой_пароль)
установленное срок на год.