Пароли нужно хранить в базе данных, при этом желательно их шифровать или использовать хеширование, у каждого из этих способов есть свои достоинства и недостатки. Данные, о пользователе естественно, можно хранить в сессии.
          После того как пользователь обращается к странице, одним из событий в конвеере обработки запросов есть AcquireRequestState. Именно там приложение отождествляет пользователя с конкретной сессией в общем случае получая идентификатор сеанса из сеансового кукиса!(при отключенных кукисах ид передается через урл). Зная текущий идентификатор сеанса конвеер инициализирует HttpSessionState. Сеансовый кукис не предусматривает механизма шифирования и защиты от подмены. А это значит, что потенциально, есть вероятность подмены сессии одного пользователя другим, путем подмены сеансовых кукисов или модификацией строки запроса в варианте без них. Именно по этой причине, не стоит принимать решение связанные с безопасностью основываясь на данных хранящихся в сессии пользователя.

С ув. Сергей.
История - это огромная система раннего предупреждения.
Norman Cousins