確かに、パスワードの配布はそれでよさそう。
でも、パスワードなくしました、再発行してくださいが多くなりそうだ。

>904の前半はユーザーのIPアドレスを2chkey（全サーバで共通）で暗号化
したものをSessionIDにしてユーザーにchallengeとして渡し、あとは、
APOPみたいにSessionIDをユーザーのPCでuserkeyで暗号化して
2ch鯖にresponseとして返せばいいような気がした。
IPアドレスが同じ限りセッションが無期限に有効なのが難点だが、
SessionIDを作るときにタイムスタンプも種にして暗号化すればよさそう。

と思ったが、IPが変わって認証要求がきたときに古いSessionIDを無効化できんな。
だめだ。