....., Не за что

....., Так а зачем отправлять пароль по 30 раз, если есть cookies?) И какой смысл в 15-ти минутной сессии? Если это опять же в целях безопасности, то привязывай ее к хешу из IP+User agent, как вариант) Издеваешься над бедными юзверями...)

....., По-моему, ввести 4-5 цифр намного легче, чем вводить выданный пароль, который нельзя изменить, с записи на бумажке. Да и по-надежности SMS авторизация впереди.

А чем привязка по IP не устраивает? И если уж и извращаться, то делать двойную авторизацию, как у гугла, с отправкой SMS на номер модератора, в котором слать код подтверждения. Это, конечно, требует небольших финансовых вложений, но лучше защиты в наше время нет.