>879
OTPでやる場合、アカウントを共有されないしくみを考えてくれ。
つまり、セッションが続いてる間（明示的なセッション終了か、一定時間）、サーバ
が発行したキーと対象IPアドレスを結びつける仕組み。
サーバ側にキーとIPアドレスを結びつけたDBおく場合は、２ｃｈのすべてのサーバ
で、そのDBを同期させることも忘れないように。レンタルサーバなので、勝手に
MySQL入れるとかいうのは無し。

>891
879が言ってる最初の一回ってのは生パスワードをユーザーに知らせるときの
こと。メールで知らせるにしても、そのメールを送るときには生パスがネットに流れる。
発行を受けるユーザーはPGPの使用を強制して、ユーザーの公開鍵で暗号化して
メールで送ればいいが、そこまでする必要もないだろう。どこかで妥協が必要だと思う。